Vulnerabilidade Zero-Day no Sudo permite executar comandos como Root em sistemas Linux/Unix

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um alerta urgente na segunda-feira, adicionando uma falha de segurança crítica que atinge o popular utilitário de linha de comando Sudo – essencial em sistemas operacionais Linux e semelhantes ao Unix – ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV).

A inclusão no KEV sinaliza que a falha está sendo ativamente explorada em ataques no mundo real.

A vulnerabilidade em questão, rastreada como CVE-2025-32463 e possuindo uma pontuação de gravidade CVSS de 9,3 (Crítica), afeta versões do Sudo anteriores à 1.9.17p1. A falha foi inicialmente divulgada pelo pesquisador Rich Mirch, da Stratascale, em julho de 2025.

A CISA detalhou a natureza da falha, que pode ter consequências devastadoras em sistemas comprometidos. "O Sudo contém uma inclusão de funcionalidade de uma vulnerabilidade de esfera de controle não confiável," afirmou a agência. A principal preocupação é que a falha de escalonamento de privilégios permite que um invasor local use a opção -R (--chroot) do sudo para executar comandos arbitrários como root – mesmo que o invasor não esteja explicitamente listado no arquivo de configuração sudoers.

O acesso root confere controle total sobre o sistema operacional. Para explorar esta vulnerabilidade, o invasor já precisa ter obtido acesso ao dispositivo, tornando a falha uma ferramenta crítica para a elevação de privilégios. Embora a CISA confirme a exploração ativa, detalhes sobre como exatamente a falha está sendo usada em campo e quem são os hackers responsáveis ainda não foram revelados publicamente.

Em uma medida para acelerar a proteção de redes federais, a CISA adicionou outras quatro vulnerabilidades críticas ao seu catálogo KEV na mesma atualização, destacando o crescente cenário de ameaças. Entre elas:

• CVE-2021-21311 (Adminer): Uma vulnerabilidade de falsificação de solicitação do lado do servidor que permite a um hacker remoto obter informações potencialmente confidenciais. O Google Mandiant revelou que esta falha foi explorada por um hacker (anteriormente chamado UNC2903) em maio de 2022 para atingir configurações do AWS IMDS.

• CVE-2025-20352 (Cisco IOS e IOS XE): Uma falha de estouro de buffer no subsistema SNMP que pode ser explorada para causar negação de serviço ou, em cenários mais graves, permitir a execução remota de código.

• CVE-2025-10035 (Fortra GoAnywhere MFT): Uma vulnerabilidade de desserialização que permite a um hacker injetar comando através da falsificação de uma resposta de licença.

• CVE-2025-59689 (Libraesva Email Security Gateway (ESG)): Uma vulnerabilidade de injeção de comando acionada por meio de um anexo de e-mail compactado.

Diante da exploração em curso, a CISA aconselhou todas as agências do Poder Executivo Civil Federal (FCEB) a aplicarem as medidas de mitigação e instalarem os patches necessários para o Sudo e os outros produtos afetados até o dia 20 de outubro de 2025, reforçando a necessidade de uma ação imediata e coordenada contra estas ameaças de segurança internacional.

Via - THN