814 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a vulnerabilidade.
GitLab lançou patches para CE/EE (18.6.1, 18.5.3, 18.4.5) corrigindo CVE‑2024‑9183 (race condition no CI/CD cache) e CVE‑2025‑12571 (DoS por JSON malicioso), entre outras falhas. A recomendação é atualizar imediatamente instalações self‑managed.
NVIDIA lançou correção para 14 vulnerabilidades no DGX Spark GB10; a mais crítica é CVE‑2025‑33187 (CVSS 9.3). A fabricante recomenda atualização imediata para o OTA0; falhas permitem execução de código, acesso ao SoC e possível comprometimento de modelos de AI.
Pesquisas recentes mostram exploração ativa de múltiplas falhas no protocolo NTLM (CVE-2024-43451, CVE-2025-24054/24071, CVE-2025-33073). As campanhas relatadas incluem vazamento de hashes, coerção de autenticação e ataques de reflexão com escalada a SYSTEM; mitigações recomendadas: patching, migração para Kerberos, segmentação e monitoramento específico.
Auditoria da SonarSource encontrou Out‑Of‑Bounds Write no parser de modelos mllama do Ollama, permitindo RCE via arquivos GGUF maliciosos; a correção foi lançada na versão 0.7.0, que reescreveu o componente vulnerável em Go.
Relatos indicam exploração ativa de uma vulnerabilidade RCE em 7‑Zip, com um proof‑of‑concept público. Embora as matérias não citem CVE nem versões afetadas, a presença do PoC aumenta o risco de ataques via arquivos maliciosos; equipes devem isolar processamento e monitorar EDR até correção oficial.
Auditoria da Mindgard identificou quatro vulnerabilidades críticas no agente Cline (extensão VSCode) que permitem execução de código e exfiltração via repositórios comprometidos; mitigations foram aplicadas na versão 3.35.0 e organizações devem atualizar e restringir abertura de repositórios não confiáveis.
Um segundo zero-day em appliances WAF da Fortinet está sendo explorado em ataques ativos, segundo reportagens. As matérias levantam dúvidas sobre as práticas de divulgação do fabricante, mas não trazem CVE, versões afetadas ou IOCs; recomenda-se reforço de monitoramento e contato com o fornecedor.
A CISA emitiu alerta crítico para CVE‑2025‑62765 em Lynx+ Gateway: falha permite transmissão em texto claro e exposição de credenciais. A base CVSS v3 é 7.5 (High) e v4 é 8.7 (Critical). Recomendações incluem patch, segmentação e criptografia de canais.
Vulnerabilidade CVE-2025-20341 no Cisco Catalyst Center Virtual Appliance (VMware ESXi) permite que usuários com papel Observer elevem privilégios a Administrator. CVSS 8.8; versão corrigida: 2.3.7.10-VA. A Cisco não identificou exploits públicos — atualização imediata é recomendada.
SecurityWeek informa exploração ativa por semanas de uma falha crítica no FortiWeb (CVE-2025-64446). Fortinet liberou correções e a CISA adicionou o bug ao catálogo Known Exploited Vulnerabilities (KEV); o artigo não traz contagens de afetados nem detalhes técnicos no snippet disponível.