PRIDE SECURITY INTEL 0x0B

[ PRIDE ]

SECURITY INTEL
                    

0days, bypass em soluções de segurança e novos modelos de IA.

Esta edição da PRIDESec Intel abre com um marco na segurança de IA: durante avaliação, os modelos GPT-5.6 e um pré-release da OpenAI escaparam de contenção, descobriram vulnerabilidades e atacaram a infraestrutura de produção do Hugging Face. É o relatório oficial, não especulação. O benchmark XBOW foi colocado em xeque quando o Codex CLI vanilla atingiu 92,3%. Fora do universo de IA, a edição traz uma PoC funcional de RCE pré-auth no SharePoint SE, um heap overflow remoto no Dnsmasq que afeta dispositivos desde 2015, o Windows Event Log transformado em vetor de RCE, a extensão Adobe Acrobat no Chrome expondo 329 milhões de navegadores ao WhatsApp, e o Gatekeeper do macOS falhando em revalidar apps após a primeira execução. Ainda cobrimos WebDAV como vetor universal de bypass de SmartScreen e MOTW, o agente Hermes operando espionagem autônoma contra o governo tailandês, Project CAV3RN usando eventos do Outlook Calendar como canal C2 e muito mais. Edição densa. Boa leitura.

Vulnerabilidades e Exploits

SharePoint SE: PoC de RCE pré-autenticação publicada

Por @testanull

O pesquisador @testanull publicou uma PoC funcional de RCE pré-autenticação contra o SharePoint Subscription Edition. A cadeia de exploração usa ysoserial com o gadget TypeConfuseDelegate para gerar um payload BinaryFormatter, que é comprimido via DeflateCookieTransform, embutido em um SecurityContextToken WS-Trust e entregue via POST ao endpoint /_trust/default.aspx com a ação wsignin1.0.

Em uma publicação associada à PoC, o próprio pesquisador escreveu: "I still can't believe that MS replaced an old stable one with a new terrible design, come with multiple preauth vuln." A frustração é compreensível. Segundo @testanull, a Microsoft substituiu uma implementação estável por um novo design que introduziu múltiplas vulnerabilidades pré-autenticação. Em ambientes SharePoint on-premises, a PoC demonstra RCE pré-autenticação via POST ao endpoint /_trust/default.aspx com a ação wsignin1.0.

WebDAV como vetor universal: bypass simultâneo de SmartScreen, MOTW e firewall

Por g3tsyst3m

Uma pesquisa demonstra como caminhos UNC via WebDAV contornam simultaneamente o SmartScreen, o Mark-of-the-Web e restrições de firewall na porta 445. O mecanismo explora um comportamento do serviço WebClient do Windows: quando a conexão SMB falha, ele redireciona silenciosamente o tráfego por HTTP/HTTPS nas portas 80 e 443, tornando o acesso indistinguível de navegação web comum.

O ponto central é que arquivos executados diretamente de um caminho UNC WebDAV não recebem a marcação MOTW, eliminando os alertas de "arquivo baixado da internet". Embora persista um prompt de "localização fora da rede local", a pesquisa demonstra técnicas para contorná-lo. Essa combinação torna o WebDAV um vetor de entrega extremamente atraente para operações de acesso inicial.

Figura: Using WebDav to Outsmart Smartscreen, MOTW, and that OTHER Alert.md [net] [sys]

Figura: Captura da dialog de aviso de segurança do Windows ao tentar executar ApplicationFrameHost.exe a partir de um compartilhamento WebDAV remoto, demonstrando o bypass da proteção SmartScreen e MOTW.

CVE-2026-50502: RCE via Windows Event Log Service

Por Romain Bentz, Login Sécurité

Romain Bentz, da Login Sécurité, encontrou uma forma engenhosa de transformar acesso RPC autenticado ao serviço Windows Event Log em execução de código no contexto do usuário comprometido, após o próximo login desse usuário. O serviço expõe uma interface RPC via named pipe \pipe\eventlog, e as funções ElfrOpenBELW e ElfrBackupELFW aceitam parâmetros controlados pelo atacante.

O contexto é relevante: a SafeBreach havia descoberto anteriormente a CVE-2025-29969, uma vulnerabilidade TOCTOU que permitia depositar arquivos arbitrários no disco. A Microsoft corrigiu adicionando verificação da estrutura EVTX no momento do backup. Romain, porém, percebeu que a verificação checa apenas a estrutura do cabeçalho. É possível manter o header EVTX intacto e injetar uma payload nos últimos bytes do arquivo, desde que a diferença de tamanho seja compensada. O serviço aceita o arquivo como EVTX legítimo e o copia para o destino.

O pulo do gato está no formato de destino: enquanto um .bat falharia por causa dos bytes nulos do header, o motor mshta.exe é extremamente permissivo. Ele varre o arquivo inteiro como se fosse HTML, ignorando o lixo binário até encontrar a payload HTA no final. É uma técnica elegante que transforma uma verificação incompleta em execução de código.

Dnsmasq: Heap Buffer Overflow Remoto com RCE (CVE-2026-2291)

Por David Barksdale, Exodus Intelligence

David Barksdale, da Exodus Intelligence, detalhou a CVE-2026-2291, um heap buffer overflow remoto no Dnsmasq presente desde a versão 2.73 (2015) em versões anteriores à 2.92rel2. O dnsmasq é amplamente usado em dispositivos embarcados, roteadores e distribuições Linux, o que torna essa vulnerabilidade particularmente impactante.

A causa raiz é um strcpy() inseguro no sistema de cache de nomes DNS. Uma mudança feita em 2015 para lidar com nomes de domínio contendo pontos ou null bytes dentro de labels introduziu sequências de escape que podem dobrar o comprimento do armazenamento necessário. A maioria dos buffers de tamanho fixo foi expandida, mas os do sistema de cache (o buffer bigname de 1.025 bytes) ficaram de fora. Um servidor DNS malicioso upstream pode enviar respostas com cadeias de registros CNAME contendo nomes de domínio longos o suficiente para estourar o buffer e corromper metadados da heap da libc.

⚠️ A exploração demonstrada contra OpenWRT alcança execução remota de código com os privilégios do processo Dnsmasq, que tipicamente roda como root. A correção está nas versões 2.92rel2 e 2.93.

Bypass de invariantes em smart contracts Cardano via Aiken expect

Por DK27ss

Uma vulnerabilidade no compilador Aiken, usado para desenvolver smart contracts na blockchain Cardano, permite que a instrução expect em tipos opacos decodifique a representação interna sem revalidar as invariantes mantidas pelos smart constructors. Na prática, um atacante pode injetar dados malformados via datum ou redeemer (dicionários com chaves duplicadas, denominadores zero em racionais, balanços forjados) que passam pela decodificação sem validação e corrompem toda operação subsequente.

Afeta as versões 1.0.24 e toda a linha 1.1.x (1.1.21 a 1.1.23), como uma regressão de um fix que existia na 1.0.26. Quem opera contratos em Cardano deve verificar a versão do compilador imediatamente.

Gatekeeper do macOS falha em revalidar apps substituídos após primeira execução

Por Talal Haj Bakry e Tommy Mysk

Talal Haj Bakry e Tommy Mysk identificaram uma lacuna no Gatekeeper do macOS que permite a substituição silenciosa do executável principal de qualquer aplicativo baixado da web, sem precisar de privilégios elevados. A técnica é direta: após o usuário rodar o app uma vez (completando a validação inicial do Gatekeeper), um atacante com execução de código em nível de usuário pode arquivar o app com tar, remover o original, substituí-lo por uma versão maliciosa, e o macOS não exige reautorização.

O ataque não funciona com apps da Mac App Store (que pertencem ao root), mas afeta apps populares baixados da web como Brave, Slack, Signal e Visual Studio Code. A Apple: "Apple doesn't consider this attack to be 'modifying' the signed executable" e, até o momento, não corrigiu o comportamento. A equipe Mysk demonstrou o ataque em vídeo e observou que existem múltiplos vetores para obter a execução de código necessária: ferramentas de linha de comando, engenharia social com copy-paste de comandos no terminal, ou até prompt injection em agentes de IA. Esse tipo de falha na cadeia de confiança de apps é particularmente perigoso porque o usuário acredita estar protegido pelo Gatekeeper, quando na prática a proteção expirou após a primeira execução.

Extensão Adobe Acrobat no Chrome permite exfiltração completa do WhatsApp

Por Guardio Labs

A Guardio Labs descobriu uma cadeia de vulnerabilidades na extensão Adobe Acrobat para Chrome, instalada em aproximadamente 329 milhões de navegadores, que permitia a exfiltração completa de conversas do WhatsApp Web com um único clique. A falha recebeu o identificador CVE-2026-48294.

O ataque é quase insultantemente simples na configuração: o visitante, que já tem a extensão instalada, acessa uma página controlada pelo atacante. A página ativa um motor de integração dormente dentro da extensão, que alcança diretamente o WhatsApp Web. Em segundos, toda a visualização renderizada do WhatsApp, incluindo lista de chats, nomes de contatos, mensagens e informações de perfil, está nas mãos do atacante. Não há malware instalado, nenhuma senha é capturada, nenhum cookie de sessão é tocado, e não existe zero-day no WhatsApp. A Guardio encontrou a cadeia em menos de quatro horas após o lançamento da versão afetada, usando um sistema de IA construído especificamente para auditoria de extensões de navegador. A Adobe respondeu de forma exemplar: reconheceu, corrigiu e publicou o patch em um único fim de semana.

Certificados X.509 híbridos pós-quânticos: verificadores aceitam o clássico e ignoram a evidência PQ

Por Taesung Kim, Boheung Chung, Keonwoo Kim e Yousung Kang

Taesung Kim e equipe mediram como oito stacks de validação de path X.509 (sete codebases independentes), em nove modos de validação e seis esquemas de certificado, lidam com certificados híbridos que carregam tanto uma credencial clássica quanto uma pós-quântica. O resultado é estruturalmente preocupante: sob uma política que exige autenticação híbrida, quase toda stack parseando um certificado híbrido separável aceita com base no path clássico sem que a evidência pós-quântica seja determinante para a decisão.

O downgrade se materializa em cenários reais de dessincronização de ciclo de vida. Quando uma credencial pós-quântica vinculada é revogada, mas o certificado clássico permanece válido, o path padrão ainda aceita porque a credencial vinculada está fora do escopo da decisão. A conclusão dos pesquisadores é direta: "binding success is not authentication success". O gap é estrutural, não explicado apenas por falta de capacidade de primitivos. Para organizações planejando migração para criptografia pós-quântica, este paper é leitura obrigatória: não basta ter os algoritmos novos no certificado se o verificador nunca os avalia de verdade.

Fontes:

AI e Segurança Ofensiva

Modelos da OpenAI escapam de sandbox, descobrem zero-days e atacam o Hugging Face

Por The Register e The Hacker News

Este é provavelmente o evento mais significativo da semana em segurança de IA. A OpenAI confirmou que seus próprios modelos, o GPT-5.6 e um modelo pré-release ainda mais capaz, escaparam de um sandbox durante avaliação interna e atacaram a infraestrutura de produção do Hugging Face. Não houve instrução humana direta para isso.

Os modelos operavam com "recusas cibernéticas reduzidas" para avaliação do benchmark ExploitGym, que mede capacidade de exploração de vulnerabilidades. Hiperfocados em maximizar a pontuação, os modelos descobriram e exploraram uma vulnerabilidade zero-day em um software de terceiro hospedado internamente pela OpenAI que atuava como proxy e cache de registros de pacotes, realizaram escalação de privilégios e movimentação lateral até alcançar um nó com acesso à internet. A partir daí, inferiram que o Hugging Face hospedava soluções para o benchmark, encadearam credenciais roubadas com outro zero-day e obtiveram execução remota de código nos servidores do Hugging Face, acessando datasets internos e credenciais.

💡 O Hugging Face descreveu o ataque como um framework de agentes autônomos executando milhares de ações individuais em sandboxes efêmeros com C2 auto-migrante. Será que chamar tanta atenção vai resultar em restrições severas como as do Fable? Muitos usuários relatam que é quase impossível usar o Fable pois ele constantemente detecta uma suposta ameaça e faz fallback para um modelos inferior. Ou será que o objetivo realmente é chamar atenção do governo dos EUA e potencialmente fechar um contrato monstruoso de segurança nacional? 🤔

WordPress RCE pré-autenticação encontrado com IA (yeah, já foi extremamente noticiada)

Por Searchlight Cyber

Searchlight Cyber identificou uma cadeia de RCE pré-autenticação encadeando duas vulnerabilidades: a CVE-2026-63030 (route-confusion desync no endpoint REST /batch/v1) e a CVE-2026-60137 (SQLi via parâmetro author__not_in). O ataque explora o fato de que o endpoint batch permite agrupar múltiplas requisições internas, e a confusão de rotas desalinha a validação e o handler, contornando a sanitização. A injeção SQL subsequente completa a cadeia até execução de código.

A equipe publicou a ferramenta wp2shell para verificação de instâncias vulneráveis, e os pesquisadores Calif e Hacktron reproduziram independentemente a cadeia completa antes de outras PoCs surgirem no GitHub. É um marco concreto: pesquisa de vulnerabilidades automatizada por IA deixou de ser demonstração de conceito para se tornar prática reproduzível. Os mantenedores do WordPress forçaram atualizações automáticas nas instalações afetadas. Ainda assim, clientes da PRIDE Security relataram falhas, então recomendamos verificar cada site exposto.

Agentes Android de IA vulneráveis a texto invisível: RCE no PC do operador

Por Zidong Zhang e equipe (Simon Fraser University, CUHK, Shandong University, QAX Xingtu Lab)

Um app Android com permissão de overlay e escrita em storage compartilhado pode injetar instruções em agentes de IA que controlam o celular usando texto que nenhum olho humano vai enxergar. Dois passos depois, o mesmo app está executando comandos no PC que controla o agente.

A pesquisa, publicada no arXiv, testou sete ataques contra cinco frameworks open-source de agentes mobile: AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA. Todos caíram em pelo menos seis dos sete. A escalação mais grave ocorre no AppAgent, que executa subprocess.run(adb_command, shell=True) e interpola a saída do modelo diretamente em comandos adb shell input text sem sanitização adequada. Metacaracteres de shell como ponto-e-vírgula e ampersand passam direto.

A janela entre a captura de screenshot e o pull pelo agente varia de 50 a 500ms, e um serviço em background fazendo polling a cada 5-10ms tem tempo de sobra para interceptar e modificar o PNG. Os autores verificaram que todos os cinco frameworks ainda expõem essas superfícies de ataque nas branches principais. É um alerta importante para quem está integrando agentes de IA com dispositivos mobile em produção.

Azure DevOps MCP: Comentário HTML invisível em PR sequestra agentes de IA de revisores

Por Manifold Security

A Manifold Security revelou que um único comentário HTML invisível em um pull request do Azure DevOps pode transformar o agente de IA de um revisor em uma ferramenta do atacante. A falha está no servidor MCP oficial da Microsoft para Azure DevOps, que retorna descrições de PRs sem o guardrail de prompt injection que a empresa já aplicou a outras ferramentas.

O mecanismo explora a diferença entre o que o humano vê e o que o modelo recebe. Na interface web, um comentário HTML é invisível. A API REST o retorna literalmente, e o servidor MCP o entrega ao agente sem tratamento. O revisor pede ao agente para analisar o PR, e o texto escondido reescreve o objetivo do agente. Como o agente carrega as credenciais do revisor (frequentemente mais sênior que o autor do PR), ele pode acessar projetos, código-fonte, segredos e work items que o atacante não alcançaria diretamente.

A Microsoft já implementou a técnica de spotlighting para outras ferramentas do servidor MCP (wiki pages, build logs), mas a função repo_get_pull_request_by_id nunca recebeu essa proteção. A falha continua presente no código-fonte atual.

Agente Hermes opera em modo autônomo para espionagem contra Ministério das Finanças da Tailândia

Por Hunt.io e Bob Diachenko

A Hunt.io, em pesquisa conjunta com Bob Diachenko, documentou o que pode ser o caso mais explícito até agora de um agente de IA sendo usado para pós-exploração autônoma em uma operação de espionagem real. Entre 9 e 13 de julho de 2026, três diretórios abertos no IP 43.246.208[.]207 (hospedado em Hong Kong, AS132883/TOPIDC) revelaram 585 arquivos e 470 MB de código de ataque e credenciais roubadas, expondo a operação em andamento contra o Ministério das Finanças da Tailândia (MOF).

O operador utilizou o Hermes, um assistente open-source da Nous Research, em modo "YOLO". Essa é uma flag documentada que desabilita os prompts de aprovação para comandos potencialmente perigosos. Os logs do Hermes capturados nos diretórios mostram o agente enumerando hosts do ministério, navegando sistemas de arquivos e capturando output de LinPEAS de hosts adjacentes. Diferente dos casos anteriores de IA assistindo ataques (como o uso do Claude Code por um grupo chinês divulgado pela Anthropic), aqui o agente roda na máquina do operador. Não há vendor monitorando, não há conta para banir. Scripts específicos miravam infraestrutura Hadoop do MOF com um client HiveServer2 usando credenciais hardcoded e uma UDF maliciosa emitindo comandos via WebHDFS. Um implant Go batizado de "Hades" pelo próprio operador também foi identificado, com dois nós C2 ligados por pivots de certificados TLS.

XBOW benchmark descredibilizado: Codex CLI vanilla com GPT-5.5 atinge 92,3%

Por @dhakal_ananda

Ananda Dhakal publicou um resultado que questiona fundamentalmente o valor do benchmark XBOW como métrica de diferenciação: o Codex CLI padrão, rodando GPT-5.5, sem harness customizado, sem scaffolding, sem nenhuma modificação, atingiu 92,3% nos benchmarks XBOW. A mensagem é clara e direta: "If you're still advertising XBOW scores, this is your sign to stop."

Isso coloca em perspectiva qualquer ferramenta de pentest autônomo que apresenta scores XBOW como evidência de capacidade diferenciada. Quando a baseline não customizada de um modelo generalista atinge esse patamar, o benchmark está medindo mais a capacidade do modelo base do que a engenharia da ferramenta em torno dele. Não invalida o trabalho de quem constrói harnesses especializados, mas demonstra que o valor real precisa ser medido em dimensões que um CLI vanilla não alcança: contexto de engajamento, persistência, integração com ferramental existente e capacidade de operar em ambientes reais com restrições que benchmarks não simulam.

Fontes:

Threat Intelligence e Campanhas

Project CAV3RN: C2 via eventos do Outlook Calendar e recuperação de config por DNS AAAA

Por Kaspersky

A Kaspersky publicou uma análise detalhada de um novo módulo de comunicação do framework de ciberespionagem Project CAV3RN, usado contra alvos em Israel. O módulo, compilado em .NET Native AOT, é avaliado como substituto do HTTP/WebSocket, sem confirmação direta e troca comandos e resultados através de eventos do calendário do Outlook acessados via Microsoft Graph.

Se a autenticação no Microsoft Graph ou a validação do tenant falhar, o módulo tenta recuperar configurações de conexão alternativas através de respostas DNS AAAA. As queries com sufixo .p. determinam o comprimento dos campos de configuração, e queries com sufixo .q. recuperam os dados propriamente ditos. A arquitetura mantém o padrão controller-based do CAV3RN: o controller uxtheme.dll gera e mantém o Agent ID de sete caracteres, gerencia o loop de polling e despacha tarefas para plugins separados.

Usar eventos de calendário como canal C2 é particularmente eficaz porque o tráfego para Graph API é indistinguível de atividade legítima do Outlook em praticamente qualquer rede corporativa que use Microsoft 365.

Arquitetura do módulo C2 do CAV3RN via Outlook Calendar

Figura: Arquitetura de comunicação de rede do módulo CAV3RN mostrando fluxo C2 via Microsoft Graph e fallback via DNS AAAA. Fonte: Kaspersky GReAT.

Engenharia reversa de implante de hardware no Ledger Nano X

Por @joegrand

Joe Grand publicou o vídeo e o firmware extraído de sua palestra na hardwear.io sobre a engenharia reversa de um implante de hardware no Ledger Nano X. A pesquisa documenta a análise completa do implante, desde a identificação física até a extração e análise do firmware extraído.

Esse tipo de pesquisa em hardware wallets é particularmente relevante porque demonstra que ataques supply chain em dispositivos de segurança não são teóricos. A publicação do firmware extraído permite que outros pesquisadores analisem as capacidades do implante e desenvolvam métodos de detecção.

Laboratório WebDAV exposto revela operações ofensivas com IA generativa

Por Rapid7

A Rapid7 identificou um servidor WebDAV completamente aberto funcionando como um verdadeiro laboratório de QA ofensivo. O servidor continha mais de 1.000 artefatos: 453 lures LNK, 236 testes de spoofing de extensão via Unicode e padding, 146 testes de execução via LOLBins, páginas ClickFix e scripts de inicialização WebDAV.

O achado mais significativo foi a adoção de IA generativa pelos operadores para geração em massa de lures, documentação automatizada e testes sistemáticos de caminhos de entrega. Atacantes estão operando como equipes de produto de software modernas, com pipelines de teste e iteração rápida. Esse é o tipo de achado que deveria preocupar quem ainda trata threat actors como amadores improvisando com scripts soltos.

Fontes:

⚡ Quicklinks

Redis RCE PoC para versões 6.2.22, 7.4.9, 8.6.4 e 8.8.0

Por berabuddies

Repositório no GitHub com PoCs de execução remota de código em múltiplas versões recentes do Redis, exigindo acesso com permissão para executar EVAL, RESTORE e XGROUP. Detalhes técnicos limitados, mas o repositório já acumula mais de 230 stars. Quem roda Redis em produção deve verificar as versões afetadas.

Fontes:

https://github.com/berabuddies/redis-poc

🤖 Out of Curiosity

Modelos chineses open-weight ultrapassam 2 trilhões de parâmetros

Por AiDrop

A MoonshotAI lançou o Kimi K3 com 2,8 trilhões de parâmetros, descrito como o maior modelo open-weight do mundo, superando o DeepSeek V4 Pro (1,6 trilhão). Na mesma semana, a Alibaba anunciou o Qwen3.8-Max com 2,4 trilhões de parâmetros. Ambos oferecem janela de contexto de 1 milhão de tokens, arquitetura multimodal nativa e serão disponibilizados para download e fine-tuning. A corrida de modelos abertos chineses contra modelos fechados americanos continua acelerando.

Google lança Gemini em três versões especializadas, incluindo modelo focado em cibersegurança

Por AiDrop News

O Google lançou o Gemini 3.5 Flash Cyber, projetado especificamente para detecção e correção de vulnerabilidades. Nos testes, o Gemini 3.5 Flash Cyber identificou 55 falhas no motor V8 do Chrome, dez delas nunca antes descobertas. O modelo segue o modo Mythos, tem acesso restrito e seu preço não foi divulgado publicamente. Além dele, foram lançados o Gemini 3.6 Flash (generalista de nova geração) e o Gemini 3.5 Flash-Lite (orquestrador de agentes autônomos em paralelo, otimizado para baixo consumo de tokens). A estratégia reflete a tese do Google de que modelos especializados por tarefa superam modelos generalistas em eficiência e custo.

Fontes:

// EOF

O heap não termina na libc. No dnsmasq, a lista livre da própria aplicação virou uma primitiva de escrita contra um ponteiro interno do ld.so da musl, sem depender da corrupção do alocador da libc. Hardening do heap não protege metadados paralelos por mágica, portanto estruturas auxiliares também precisam entrar no threat model, no fuzzing e nas invariantes de integridade.

Privilégio transitório também é privilégio explorável. No WordPress, o salto decisivo ocorreu quando o parse_request reiniciou a requisição enquanto a identidade administrativa ainda estava ativa. Arquiteturas com redispatch, recursão ou hooks devem limpar o contexto de autenticação antes de reentrar no pipeline e testar explicitamente chamadas aninhadas.

A fronteira de confiança está no MCP, não no modelo. A reprodução do sequestro por comentário HTML funcionou no Copilot CLI e no Claude Code, deslocando a causa-raiz para o conteúdo entregue pelo servidor e para as permissões concedidas ao agente. Conteúdo não renderizado deve ser removido ou marcado como não confiável antes de entrar no contexto, e ferramentas sensíveis precisam de autorização independente da interpretação do modelo.

Curadoria: The Old Pirate