Neste Artigo
Em 20 de maio de 2025, pesquisadores da equipe de segurança Qualys Threat Research Unit (TRU) divulgaram publicamente uma falha crítica que foi previamente reportada em sigilo à comunidade Linux. A vulnerabilidade foi identificada no uso da opção -R ou --chroot em várias ferramentas de sistema, permitindo execução de comandos como root fora do ambiente isolado, mesmo por usuários com permissões restritas.
Registrada sob o identificador CVE-2025-32463, essa falha representa um risco real e concreto à segurança de sistemas operacionais baseados em Unix, como Linux (em diversas distribuições) e macOS. O problema reside em uma falha de contenção ao trocar o diretório raiz de execução, o que viola um dos princípios mais fundamentais de segurança: o isolamento de contexto.
Cronologia do CVE-2025-32463
| Data | Evento |
|---|---|
| 15 de maio de 2025 | A falha foi descoberta por um pesquisador da Qualys em testes com scripts de instalação. |
| 16 de maio de 2025 | A equipe de segurança iniciou a análise e confirmou a falha em várias distros Linux. |
| 17 de maio de 2025 | Prova de conceito (PoC) foi criada e enviada a grupos de resposta como o CERT e mantenedores de pacotes afetados. |
| 18 a 19 de maio de 2025 | Fabricantes como Canonical (Ubuntu), Debian e Apple receberam relatórios confidenciais. |
| 20 de maio de 2025 | A falha foi divulgada ao público com patches para algumas distros e uma atualização de segurança para macOS Ventura e Sonoma. |
| 21 de maio de 2025 | A falha recebeu destaque internacional, sendo classificada como crítica e incluída em bancos de dados como NVD, MITRE e Exploit DB. |
Como funciona a falha?
A vulnerabilidade está associada à forma como certas ferramentas e scripts utilizam o parâmetro -R para executar ações dentro de um ambiente simulado, ou chroot. O chroot muda o diretório raiz do processo em execução, tornando-o "cego" ao restante do sistema de arquivos. No entanto, esse isolamento depende da integridade da aplicação e da ausência de arquivos inseguros.
Combinando o uso de -R com:
binários
setuidpermissões inseguras
links simbólicos ou diretórios com acesso público (como
/tmp)falhas na verificação de contexto pelo programa
...um invasor pode executar comandos fora do chroot, ganhando acesso root ao sistema anfitrião.
Essa condição é ainda mais perigosa quando scripts automatizados de instalação, manutenção ou atualização utilizam -R para aplicar ações em ambientes alternativos situação comum em servidores, containers, e scripts postinst em pacotes .deb.
Ferramentas afetadas (em análise)
installrsyncdebootstrapcpioscripts com
chrootou que usem funções de wrapper mal implementadas
Essas ferramentas, se mal configuradas ou utilizadas com argumentos inseguros, tornam possível escalar privilégios mesmo em sistemas que tentam aplicar isolamento rigoroso.
Sistemas Operacionais Afetados
Abaixo está uma tabela com os sistemas que confirmadamente ou potencialmente estão expostos à falha:
| Sistema Operacional | Situação |
|---|---|
| Ubuntu 20.04 LTS | Confirmado vulnerável |
| Ubuntu 22.04 / 24.04 | Confirmado vulnerável |
| Debian 11 (Bullseye) | Confirmado |
| Debian 12 (Bookworm) | Confirmado |
| Fedora 38 / 39 | Em investigação |
| Arch Linux | Vulnerável até atualização de 21/05 |
| macOS Ventura (13.x) | Atingido em casos específicos com Homebrew |
| macOS Sonoma (14.x) | Patches já emitidos |
Gravidade e Potencial de Exploração
Essa vulnerabilidade não exige acesso root prévio. Usuários limitados (sem sudo) conseguem explorar a falha localmente se tiverem acesso a ferramentas vulneráveis, especialmente em ambientes com configurações inseguras de permissões ou serviços automatizados mal protegidos.
Além disso, ela funciona silenciosamente: não gera alertas no log, não exige privilégios elevados e pode ser abusada via scripts simples ou manipulações de arquivos em diretórios públicos.
Técnica de Exploração e Defesa
Como a exploração acontece?
O ataque à falha CVE‑2025‑32463 se baseia em explorar um uso inseguro do argumento -R (ou --chroot) por binários ou scripts de manutenção do sistema.
Em cenários vulneráveis, o atacante cria um diretório com permissões manipuladas (geralmente em /tmp), onde posiciona binários maliciosos ou links simbólicos estratégicos. Um exemplo típico:
| mkdir /tmp/fake_root echo -e '#!/bin/sh\nid > /tmp/output.txt' > /tmp/fake_root/bin/ls chmod +x /tmp/fake_root/bin/ls |
Suponha agora que o administrador (ou um script postinst) execute:
