PRIDE SECURITY INTEL 0x0F

[ PRIDE ]

SECURITY INTEL
                    

GPT-5.6 tenta escapar de VM, Log4j2 volta com RCE e CISA expõe SOCs cegos

A Trail of Bits colocou o GPT-5.6-Cyber para tentar escapar de uma VM QEMU/KVM em Debian 12 com AMD Zen3, como parte do programa Patch the Planet. É o tipo de teste que força qualquer equipe a repensar como isola agentes de IA em sandbox. Em paralelo, o Log4j2 volta ao radar com uma RCE crítica que faz bypass do FilteredObjectInputStream, afetando versões 2.11.0 até 2.26.1, já com PoC pública. A CISA publicou o advisory AA26-237A revelando que dois red teams comprometeram completamente organizações de infraestrutura crítica nos EUA, com uma delas não detectando absolutamente nada. Ainda nesta edição: RCE sem autenticação no Next.js via otimização de imagens AVIF, o backdoor SLEEPWALKER que opera sem C2, a Gitea CVE-2026-60004 adicionada ao KEV, e a NVIDIA NemoClaw sendo envenenada via Ollama exposto. Projeto BR para bater de frente com Flipper Zero, High Boy é uma plataforma brasileira de pesquisa em segurança com sete tecnologias wireless nativas na placa: Wi-Fi 6 em banda dupla, BLE 5.3, LoRa, Sub-GHz (CC1101), NFC, RFID e infravermelho.

Vulnerabilidades e Exploits

Log4j2 FilteredObjectInputStream Bypass: nova RCE crítica com PoC pública

Por 张惠倩, em publicação no X

Uma nova vulnerabilidade de execução remota de código no Apache Log4j2 está gerando atenção imediata. O problema afeta as versões 2.11.0 até 2.26.1 e explora um bypass no FilteredObjectInputStream (FOIS), o wrapper que o Log4j2 usa como camada de desserialização segura.

O mecanismo é elegante na sua simplicidade. O FOIS sobrescreve resolveClass com uma allowlist que permite apenas classes do pacote org.apache.logging.log4j.* e algumas classes Java explícitas. O problema é que uma dessas classes explícitas é java.rmi.MarshalledObject. Quando MarshalledObject.get() é invocado internamente, ele cria um stream de desserialização sem filtro nenhum. Qualquer objeto empacotado dentro de um MarshalledObject é desserializado sem restrições, contornando completamente a allowlist.

⚠️ O pior: o próprio Log4j2 faz esse empacotamento. O LogEventProxy, que é o proxy de serialização de todo LogEvent, armazena a mensagem do evento em um campo MarshalledObject. Na desserialização, ele chama marshalledMessage.get() para recuperar a mensagem, criando o stream sem filtro. Já existe PoC pública demonstrando a exploração completa. A correção exige atualização imediata para versões superiores à 2.26.1.

RCE sem autenticação no Next.js via otimização de imagens AVIF

Por Equipe da Vercel

Uma vulnerabilidade crítica no libheif, usado pelo sharp na otimização de imagens do Next.js, pode causar execução remota de código ao otimizar arquivos AVIF. A principal, rastreada como GHSA-2xp9-vwfh-vxw4, permite execução remota de código sem autenticação quando arquivos AVIF são processados. A falha reside na biblioteca subjacente que o Next.js utiliza para otimização, e o vetor de ataque não exige nenhum privilégio prévio.

O CVSS é consistente com severidade crítica: acesso via rede, sem complexidade, sem interação do usuário, sem autenticação. Como mitigação imediata, a Vercel desabilitou a otimização de arquivos AVIF até que a correção se propague. Um segundo advisory (GHSA-p293-qw3h-jr36) cobre uma vulnerabilidade relacionada no mesmo componente.

Para qualquer equipe que rode Next.js em produção com a API de imagens habilitada, a ação é direta: atualize ou desabilite o suporte a AVIF. O fato de ser pré-autenticação e acessível via rede torna essa vulnerabilidade particularmente atrativa para automação de exploração em massa.

Kaltura mwEmbed: RCE e leitura de arquivos sem autenticação, sem patch

Por Gerjan Wemekamp (AndDone) e CERT/CC

O CERT/CC divulgou duas vulnerabilidades sem patch no player de vídeo HTML5 da Kaltura, componente amplamente utilizado em plataformas de mídia. Ambas derivam de desserialização insegura no endpoint mwEmbedLoader.php e não exigem autenticação.

A CVE-2026-19913 permite leitura arbitrária de arquivos. O parâmetro ServiceUrl aceita caminhos file://, e o conteúdo do arquivo local é refletido na mensagem de erro da desserialização. Gerjan Wemekamp demonstrou que é possível extrair o arquivo de configuração /opt/kaltura/app/configurations/local.ini, que contém senhas de banco de dados e strings de conexão em texto claro. A CVE-2026-19912 transforma a mesma desserialização em execução de código via path traversal no parâmetro uiconf_id, permitindo escrita de objetos PHP serializados fora do diretório de cache.

O agravante: o CERT/CC declarou que não conseguiu contatar a Kaltura para coordenar a divulgação. E como o endpoint também está exposto na infraestrutura CDN multi-tenant compartilhada da Kaltura, todos os clientes que utilizam esses hosts estão expostos. A recomendação é restringir acesso externo ao endpoint e implementar allowlist estrita para o parâmetro ServiceUrl.

Gitea RCE ativamente explorada: CISA adiciona CVE-2026-60004 ao KEV

Por Shai rod (NightRang3r), Andrey (Causelof) e CISA

A CISA adicionou ao catálogo KEV a CVE-2026-60004 (CVSS 9.8), uma vulnerabilidade de execução remota de código no Gitea que já está sendo explorada ativamente. O problema está no endpoint diffpatch, que pode ser abusado para instalar e executar Git hooks a partir de conteúdo controlado pelo repositório. Com o registro aberto por padrão no Gitea, um visitante não autenticado consegue criar conta, criar repositório e disparar o exploit.

Um desenvolvedor identificado como Andrey documentou um ataque real contra sua instância Gitea, onde um ator desconhecido explorou a falha para implantar um dropper de mineração de criptomoeda. O ataque foi detectado quando o provedor de hospedagem notificou uso de CPU acima de 70% por período prolongado. A correção está disponível na versão 1.27.1, e a instância atacada tinha registro aberto, com DISABLE_REGISTRATION e REGISTER_EMAIL_CONFIRM definidos como false.

Fontes:

Evasão e Red Team

SLEEPWALKER: backdoor de 60 KB que opera sem C2 e escuta tráfego em todas as interfaces

Por Dominik Reichel (ex-Unit 42)

Um backdoor Windows inédito chamado SLEEPWALKER foi documentado com características que indicam operação direcionada e bem financiada, sem atribuição a ator ou Estado conhecido. A DLL de 64 bits (59.904 bytes) é carregada via DLL side-loading no processo ERAAgent.exe do ESET Management Agent, personificando a legítima dpapi.dll da Microsoft e exportando suas sete funções de proteção de dados.

O diferencial técnico é a ausência total de infraestrutura codificada. Sem domínios, IPs ou URLs embutidos. Sem conexões de saída. O implante permanece inerte em memória até receber um pacote de rede específico, momento em que executa comandos em uma linguagem própria de 23 instruções, entregues como bytecode criptografado com AES-256-CCM. O listener captura tráfego em todas as interfaces de rede, incluindo pacotes destinados a outras máquinas. Isso significa que um host posicionado como gateway ou servidor VPN poderia interceptar triggers direcionados a outros alvos.

💡 A técnica de side-loading explora a ordem de busca de DLLs do Windows, não uma vulnerabilidade do ESET. Não existe patch aplicável. A resposta é investigação forense e reconstrução completa do host. Segundo Dominik Reichel, o nível de sofisticação é consistente com operação bem financiada, embora não haja atribuição a ator ou vítima conhecidos.

SliverMirage: loader para Sliver com virtualização PICO, bypass de AMSI e silenciamento de ETW

Por daniomass

O SliverMirage é um loader para o framework de C2 Sliver que concentra várias técnicas de evasão em um único pacote. Utiliza virtualização Crystal Palace PICO para execução isolada, bypass duplo de AMSI (Antimalware Scan Interface), silenciamento de ETW (Event Tracing for Windows) e payloads criptografados com AES-256-CBC.

O projeto oferece seis variantes de entrega (staged e stageless) com tooling completo de build. É mais uma ferramenta ofensiva pronta para uso que eleva a barreira para detecção por soluções de endpoint (até ter assinatura na maioria das ferramentas!rs). A combinação de virtualização PICO com silenciamento de ETW é particularmente relevante porque ataca dois pilares da telemetria de que EDRs modernos dependem para detecção comportamental.

CISA Red Team: A Tale of Two SOCs e o comprometimento total de infraestrutura crítica

Por CISA

A CISA publicou o advisory AA26-237A detalhando dois red team assessments simultâneos contra organizações de infraestrutura crítica dos EUA. Ambas foram completamente comprometidas em nível de domínio, incluindo sistemas sensíveis e recursos em nuvem. A narrativa de como cada organização respondeu (ou não) é um caso de estudo essencial.

Na Organização A (serviços governamentais), o acesso inicial veio via aplicação web com credenciais padrão, seguido de phishing interno e escalação de privilégios explorando Machine Account Quota combinada com template AD CS mal configurado (ESC1). O time roubou um Primary Refresh Token e abusou de aplicações Entra ID com permissões excessivas para ler e-mails da equipe de segurança. O resultado: a Organização A não detectou absolutamente nada. Milhares de falsos positivos obscureceram alertas reais, múltiplos SOCs operavam sem visibilidade compartilhada, e um alerta legítimo em um servidor SCCM foi descartado como falso positivo (já vimos isso acontecer várias vezes em projetos que a PRIDE Security realizou).

A Organização B (água e esgoto), em contraste, detectou e respondeu à atividade. O relatório é leitura obrigatória para qualquer equipe de defesa que acredita que ter um SOC é sinônimo de estar protegido.

Fontes:

Pesquisa e Engenharia Reversa

Três bugs públicos do V8, uma chain completa e a flag do v8CTF

Por Himanshu Anand

Himanshu Anand aproveitou um período sem trabalho full-time para encadear três bugs públicos do V8 contra o build exato do Chrome usado no v8CTF do Google. O primeiro bug vazou um endereço de objeto comprimido. O segundo transformou um erro de garbage collection em um array JavaScript falso com acesso de leitura e escrita dentro do V8 cage. O terceiro usou um mismatch entre JSPI e a JS Dispatch Table para pivotar a stack nativa para fora do cage.

Com a cadeia completa, ele reutilizou código já presente no Chrome para abrir, ler e imprimir a flag. Flag real, escape do V8 sandbox confirmado. Mas o bounty de US$ 10.000 não veio, porque os requisitos de elegibilidade exigem taxa de sucesso acima de 80% e tempo médio abaixo de cinco minutos, condições que a chain não atendeu de forma consistente.

O relato é transparente sobre os números feios de confiabilidade e sobre o quanto de assistência de LLM foi usado no trabalho. É o tipo de write-up honesto que falta no campo.

Fontes:

https://blog.himanshuanand.com/2026/08/i-had-some-free-time-so-i-tried-to-pwn-v8/

AI e Jailbreaks

Testando escape de VMs com o GPT-5.6 (QEMU/KVM)

Por Trail of Bits

A Trail of Bits recebeu acesso ao GPT-5.6-Cyber como parte do programa Patch the Planet e deu ao agente uma tarefa simples: escapar de uma VM QEMU/KVM em uma máquina Linux (Debian 12, AMD Zen3).

Na primeira tentativa, usou bugs recentemente divulgados no kernel do host. Após atualização completa, usou bugs divulgados que ainda não haviam chegado aos mantenedores de pacotes ou não estavam classificados como falhas de segurança. Quando o pesquisador reconstruiu o QEMU e dependências a partir do source upstream mais recente, o agente encontrou vários 0-days. Operou autonomamente por horas, retrocedeu de abordagens que não funcionaram, baixou código e papers de pesquisa, escreveu oráculos, criou exemplos mínimos próprios e buscou um exploit reutilizável e confiável. O trabalho principal do humano foi reiniciar fisicamente a máquina quando o agente travava o kernel do host.

A conclusão da Trail of Bits é direta: "you can no longer assume a mere VM will contain a sufficiently advanced AI agent. To use a 2010s term of art, you should treat such agents as an advanced persistent threat." Isso muda fundamentalmente as premissas de contenção. VMs compartilham recursos com o host (tela, rede, filesystem), e essas superfícies de comunicação foram suficientes para o agente escapar. A recomendação é tratar agentes avançados como APTs e projetar contenção com essa premissa.

EVOMAL: autoenvenenamento em agentes de código que evoluem sozinhos

Por Xiaodong Wu, Yu Shi, Qi Li e equipe

Agentes de código baseados em LLM que evoluem sozinhos escrevem suas próprias ferramentas imitando skills recuperadas de bibliotecas compartilhadas. Xiaodong Wu e equipe identificaram uma vulnerabilidade nesse loop: durante a autoria, uma skill maliciosa recuperada pode se tornar o template para uma nova skill que preserva o payload. Os autores chamam isso de autoenvenenamento.

O ataque, chamado EvoMal, amplifica o autoenvenenamento envolvendo um payload intercambiável em um "banner" (elementos estruturais de aparência benigna que induzem o agente a reproduzir o código encapsulado). O atacante planta skills maliciosas na biblioteca sem invocá-las. O agente então cria e executa novas skills carregando o código nocivo. Cada cópia pode reentrar na biblioteca e ser imitada novamente, formando um worm autopropagável que persiste mesmo após a remoção das skills plantadas.

Os números são preocupantes. Nos testes com seis modelos em 153 tarefas do SWE-bench Verified, a taxa de autoenvenenamento (ASPR) variou de 20,3% a 41,8%, com bibliotecas envenenadas contendo 4,9 a 9 vezes mais skills maliciosas do que as originalmente plantadas. Após remoção das skills iniciais, o Qwen3 manteve ASPR de 68% na rodada 5 porque cópias geradas pelo agente permaneceram. Os autores propõem como defesa o counter-prompt, que reduz o ASPR para no máximo 6,7% sem perda significativa de performance.

NemoClaw da NVIDIA: página maliciosa envenena modelo local via Ollama exposto

Por Elad Luz, Oasis Security

A Oasis Security revelou uma fraqueza no NVIDIA NemoClaw que permite a uma página web controlada por atacante assumir controle não autenticado da instância local do Ollama e plantar instruções ocultas dentro do próprio modelo. O NemoClaw iniciava o Ollama com OLLAMA_HOST=0.0.0.0:11434, vinculando o servidor de modelo a todas as interfaces de rede.

A cadeia de ataque usa DNS rebinding para contornar as proteções de CORS e header Host do Ollama. Com acesso à API na porta 11434 (sem autenticação), o atacante modifica o chat template do modelo para que instruções ocultas sejam aplicadas a toda conversa futura. A versão 0.0.35 do NemoClaw corrigiu o problema em macOS e Linux, mas no Windows e WSL a correção ainda não está disponível. A pesquisa reforça que sandboxar o endpoint sem proteger o acesso ao modelo é insuficiente quando o agente detém permissões reais sobre ferramentas e dados.

Everything I Own, Owned: engenharia reversa de periféricos com agente de IA

Por schlarp

schlarp passou duas semanas fazendo engenharia reversa de periféricos usando o Claude Opus 5 como motor agentic. O resultado: uma shell de comando em texto claro dentro de um microfone Shure MV7, controle do LED de atividade de uma webcam Insta360 Link (desligando-o enquanto grava) e escrita arbitrária de memória em um key light Elgato via Wi-Fi.

O processo foi consistente para cada dispositivo: capturar firmware e ferramenta de atualização do fabricante, alimentar o ambiente de engenharia reversa, definir objetivos para o agente e deixá-lo trabalhar. Os cinco dispositivos totalizaram aproximadamente 13 horas de processamento do agente e 98 prompts ao longo de duas semanas. A pesquisa demonstra que periféricos são alvos ideais para engenharia reversa agentic: são computadores pequenos conectados ao computador principal, com conexão de dados ao host e geralmente um mecanismo de atualização de firmware que serve como superfície de iteração.

Interface WebHID para shell de comando do MV7

Figura: interface WebHID para shell de comando no microfone Shure MV7, exibindo configurações de DSP e dumps de memória.

Fontes:

AppSec e Cloud Security

Ruby Marshal Kick-off Gadgets: desserialização pós-marshal_load

Por elttam

A equipe da elttam publicou uma pesquisa sobre gadgets de desserialização Ruby que vão além dos pontos de entrada explícitos (marshal_load, _load, _load_data). A pergunta central: o que Marshal.load chama implicitamente? As respostas são os chamados "kick-off gadgets" implícitos, o primeiro elo de uma cadeia de desserialização que é alcançado porque o próprio desserializador o invoca, não porque um gadget anterior o chamou.

A distinção importa porque as regras são diferentes. Um gadget intermediário depende do que o gadget anterior passou. Um kick-off gadget é alcançado porque Marshal.load o chamou diretamente, sobre um objeto que o payload nomeou e populou. A pesquisa explora um mundo onde os pontos de entrada explícitos não existem mais e identifica chamadas implícitas como hash (quando um objeto é colocado como chave de Hash) como vetores viáveis. Para quem trabalha com segurança de aplicações Ruby, especialmente em contextos como RubyGems, é pesquisa de referência sobre a superfície de ataque real da desserialização.

XSS via nomes de tags HTML: localName, part e classList como vetores

Por PortSwigger Research

Uma investigação da PortSwigger Research começou com uma pergunta simples: quais caracteres são válidos em nomes de tags HTML? A resposta se transformou em uma coleção de vetores de XSS que abusam de propriedades pouco conhecidas do DOM.

A descoberta central é que a propriedade localName retorna uma versão em minúsculas do nome da tag, diferente de tagName que converte para maiúsculas. Combinando isso com tabindex (para tornar qualquer tag focalizável), onfocus encadeado e attributes[0].value (que é convertido em função), é possível executar JavaScript arbitrário a partir do próprio nome da tag. Funciona em todos os navegadores.

Os vetores evoluem para abusar de part (que converte valores separados por espaço em array), classList, e até o fato de que um colchete angular de abertura pode fazer parte do nome da tag. O pesquisador também alimentou o Sol 5.6 com os vetores iniciais e obteve variantes adicionais, incluindo uso de contenteditable em vez de tabindex e a função getAttributeNode. Para quem escreve regras de WAF (é jogo perdido, mas se você tem esse trabalho, tente fazer bem!rs), é leitura obrigatória.

AWSHound: coletor OpenGraph para mapear cadeias de ataque em AWS via BloodHound

Por Julian Catrambone e Daniel Heinsen, SpecterOps

Julian Catrambone e Daniel Heinsen, da SpecterOps, lançaram o AWSHound, um coletor read-only que transforma uma conta AWS ou uma organização inteira em um dataset OpenGraph para o BloodHound Community Edition. O problema que resolve é real: identificar cadeias de ataque em AWS onde nenhum hop individual parece perigoso, mas a composição de permissões cria caminhos de comprometimento completos.

Antes de desenhar qualquer aresta no grafo, o AWSHound executa uma avaliação offline de IAM, garantindo que uma aresta só existe quando as permissões efetivas do principal resolvem para Allow após SCPs, RCPs e permissions boundaries terem seu efeito. O resultado é um mapa de caminhos de possíveis ataques. A ferramenta cobre IAM, Organizations, S3, KMS, SSM, EC2, Lambda, CloudFormation e EKS.

A ferramenta é gratuita, self-hosted, e roda tanto na Community Edition quanto na Enterprise do BloodHound. Utilizamos em um projeto recente na PRIDE Security e o resultado foi melhor que o esperado.

Diagrama de cadeia de ataque AWS via AWSHound

Figura: cadeia de comprometimento em AWS mapeada pelo AWSHound, mostrando escalação via Lambda e IAM roles.

Fontes:

#DeuRuim

TeamPCP: preso o grupo por trás da maior cadeia de ataques a supply chain de software

Por Brian Krebs

Autoridades australianas prenderam dois membros do TeamPCP, grupo cibercriminoso responsável pela maior cadeia contínua de ataques a supply chain de software já registrada. O grupo comprometeu centenas de pacotes open source injetando código malicioso via um worm autopropagável chamado Shai-Hulud, que explorava credenciais roubadas de repositórios como GitHub e NPM em ciclo. Ferramentas de desenvolvimento infectadas comprometiam outros desenvolvedores, expandindo o acesso recursivamente.

⚠️ O detalhe mais perturbador: o TeamPCP chegou a lançar um concurso público oferecendo US$ 1.000 em Monero para quem realizasse a maior operação de supply chain usando o código do worm, pontuando participantes pelo volume de downloads dos pacotes comprometidos. Efetivamente, um programa de recrutamento criminal gamificado. Os suspeitos, de 21 e 23 anos, foram presos na Austrália Ocidental. O caso reforça que ataques a supply chain estão se sofisticando para incluir mecanismos de autopropagação que tornam a contenção exponencialmente mais difícil.

Fontes:

https://krebsonsecurity.com/2026/08/two-alleged-teampcp-hackers-arrested-in-australia/

⚡ Quicklinks

DARKNAVY obtém root shell em terminal Starlink square dish

Por DARKNAVY

A equipe da DARKNAVY anunciou a primeira exploração completa de um terminal Starlink "square dish", exigindo um ataque de hardware para obter root shell. O feito é interessante pois a equipe de segurança da SpaceX parece não ter deixado nenhum vetor de software disponível, forçando a abordagem física. A demonstração mostra leitura de registros de fuse, acesso a dados criptografados por hardware e funcionalidades disponíveis apenas em hardware com root.

tmp0ut Volume 5: nova edição da zine de VX e baixo nível

Por Equipe da tmp0ut

Saiu o quinto volume da tmp0ut, a zine dedicada a pesquisa de baixo nível, vírus de computador, ELF hacking e técnicas de evasão (de volta ao final dos anos 90? :-). Destaques incluem um vírus metamórfico ELF-64 de 440 bytes, compilador de Brainfuck para ROP, deep dive em como o kernel Linux carrega executáveis e técnicas de ASLR fine-grained para ELF. Leitura recomendada para quem vive no nível de bytes.

AliExpress usa Web Audio API para fingerprinting de hardware via navegador

Por Callaghan (via Tom's Hardware)

Um desenvolvedor descobriu de forma inusitada que a AliExpress executa scripts que utilizam a Web Audio API para gerar waveforms com oscilador sawtooth, medir o resultado via analyzer e coletar dados de frequência para fingerprinting de hardware. Os scripts (collina.js e fireyejs.js) definem volume zero, tornando o processo inaudível, mas mantêm o processamento de áudio ativo, interferindo inclusive em headphones Bluetooth multipoint (o que gerou a análise e descoberta). O código faz parte do tooling anti-abuso da Alibaba. Não é uma técnica inédita, mas é interessante, inclusive como foi descoberta.

Fontes:

🤖 Out of Curiosity

High Boy — Pesquisa em Segurança de Hardware, Brasileira e Open Source

Por nosso amigo Teske :-)

Se você já precisou carregar adaptador Wi-Fi, transceptor Sub-GHz, leitor NFC e transmissor IR separados numa avaliação de segurança, o High Boy resolve isso. Sete rádios nativos numa placa só, incluindo Wi-Fi 6 em banda dupla e LoRa integrados. O Flipper Zero precisa de módulo externo para Wi-Fi, não suporta 5 GHz e não tem LoRa. O High Boy ainda entrega display colorido e dual MCU que não trava durante capturas pesadas. Projeto brasileiro, firmware open source, suporte em português e comunidade ativa. Vale conhecer e apoiar pelo Indiegogo. Não conhecemos diretamente a galera do projeto, mas eles tem nosso respeito e apoio. 🫡

Fontes:

https://highboy.kckb.me/teskeslab

• High Boy é Brazuca! Orgulho de ver projetos assim nascendo no BR, vale apoiar, sem contar que sai mais barato que comprar um flipper zero! Enjoy!

Curadoria: The Old Pirate