Vulnerabilidades da Semana #24
Destaque para falhas graves em PHP (CVE-2025-1735 e CVE-2025-6491), afetando extensões PostgreSQL e SOAP. Outras correções importantes incluem SQLi no FortiWeb (CVSS 9.6), DoS no Redis, zero-day no SQL Server corrigida no Patch Tuesday da Microsoft e falhas de DoS no Zoom para Windows.
Wagner Souza
7/13/2025
Vulnerabilidades no PHP
Duas vulnerabilidades identificadas como CVE-2025-1735 e CVE-2025-6491, afetam aplicações com PHP. As falhas afetam instalações do PHP executando versões anteriores a 8.1.33, 8.2.29, 8.3.23 e 8.4.10, com patches disponíveis para todas as versões afetadas.
CVE-2025-1735[1] | CVSS 9.1: Falha na extensão do PostgreSQL que permite injeção de SQL devido à ausência de verificação de erros em funções de escape.
CVE-2025-6491[2] | CVSS 5.9: A extensão SOAP trava ao processar prefixos de namespace muito grandes (> 2 GB), causando falhas de segmentação.
Os administradores devem atualizar imediatamente para as versões corrigidas: 8.1.33, 8.2.29, 8.3.23 ou 8.4.10. Essas atualizações corrigem ambas as vulnerabilidades e restauram os mecanismos adequados de tratamento de erros nas extensões afetadas.
1 -https://github.com/php/php-src/security/advisories/GHSA-hrwm-9436-5mv3
2 - https://github.com/php/php-src/security/advisories/GHSA-453j-q27h-5p8x
CVE-2025-48367 | CVSS 7.0
Vulnerabilidade de DoS no Redis
A equipe de desenvolvimento do Redis emitiu um alerta de segurança destacando uma vulnerabilidade de denial-of-service (DoS) notificada na CVE-2025-48367 (CVSSv4 7.0). A vulnerabilidade decorre do uso indevido de comandos do protocolo multi-bulk do Redis por usuários autenticados, impactando a disponibilidade.
“Este problema se baseia no abuso ou uso indevido do protocolo de rede de comandos incorporado ao Redis e exige que o usuário seja autenticado com sucesso. Portanto, não viola o Modelo de Segurança do Redis... mas ainda pode ser usado para causar impactos não intencionais ou inesperados na disponibilidade”, explica o comunicado[1].
Patches foram lançados para quatro versões ativas, que incluem melhorias gerais de estabilidade e possíveis mitigações relacionadas:
8.0.3 – Notas de lançamento[2]
7.4.5 – Notas de lançamento[3]
7.2.10 – Notas de lançamento[4]
6.2.19 – Notas de lançamento[5]
1 - https://github.com/redis/redis/security/advisories/GHSA-2r7g-8hpc-rpq9
2 - https://github.com/redis/redis/releases/tag/8.0.3
3 - https://github.com/redis/redis/releases/tag/7.4.5
4 - https://github.com/redis/redis/releases/tag/7.2.10
5 - https://github.com/redis/redis/releases/tag/6.2.19
CVE-2025-24477 | CVSS 4.0
Vulnerabilidade no Fortinet FortiOS
A Fortinet divulgou uma falha de segurança em seu sistema operacional FortiOS, identificada como CVE-2025-24477[1] CVSSv3 de 4,0. Essa vulnerabilidade de heap-based buffer overflow, classificada como CWE-122, afeta o daemon cw_stad e permite que um invasor autenticado execute código ou comandos arbitrários por meio de requisições especialmente elaboradas.
A vulnerabilidade afeta versões específicas do FortiOS:
FortiOS 7.6 7.6.0 a 7.6.1 - Atualize para 7.6.3 ou superior
FortiOS 7.4 7.4.0 a 7.4.7 - Atualize para 7.4.8 ou superior
FortiOS 7.2 7.2.4 a 7.2.11 - Atualize para 7.2.12 ou superior
FortiOS 7.0 - Não afetado - Não aplicável
FortiOS 6.4 - Não afetado - Não aplicável
1 - https://www.fortiguard.com/psirt/FG-IR-25-026
Microsoft's Patch Tuesday Julho/2025
Hoje é o Patch Tuesday de julho de 2025 da Microsoft, que inclui atualizações de segurança para 137 falhas, incluindo uma vulnerabilidade de dia zero divulgada publicamente no Microsoft SQL Server.
Este Patch Tuesday também corrige quatorze vulnerabilidades "críticas", sendo dez delas vulnerabilidades de execução remota de código, uma de divulgação de informações e duas de ataques ao AMD side channel.
O número de bugs em cada categoria de vulnerabilidade está listado abaixo:
53 Vulnerabilidades de Elevação de Privilégios
8 Vulnerabilidades de Bypass de Recursos de Segurança
41 Vulnerabilidades de Execução Remota de Código
18 Vulnerabilidades de Divulgação de Informações
6 Vulnerabilidades de Negação de Serviço
4 Vulnerabilidades de Spoofing
Para mais detalhes sobre todas as atualizações disponibilizadas hoje, a Microsoft recomenda a leitura do report em https://msrc.microsoft.com/update-guide/
CVE-2025-25257 | CVSS 9.6
Vulnerabilidade de SQLi no FortiWEB WAF
A Fortinet lançou um patch crítico para corrigir uma vulnerabilidade grave em seu produto FortiWeb — Web Application Firewall (WAF). Identificada como CVE-2025-25257[1] CVSS 9.6, trata-se de uma vulnerabilidade de SQL Injection (SQLi) não autenticada a qual permite que um ator de ameaças, de forma remota, execute comandos SQL enviando uma requisição HTTP ou HTTPS.
A vulnerabilidade afeta as seguintes versões do FortiWeb:
FortiWeb 7.6 7.6.0 a 7.6.3 - Atualização para 7.6.4 ou superior
FortiWeb 7.4 7.4.0 a 7.4.7 - Atualização para 7.4.8 ou superior
FortiWeb 7.2 7.2.0 a 7.2.10 - Atualização para 7.2.11 ou superior
FortiWeb 7.0 7.0.0 a 7.0.10 - Atualização para 7.0.11 ou superior
Devido a severidade dessa vulnerabilidade, a Fortinet recomenda a aplicação do patch, em tempo oportuno, afim de mitigar possíveis vetores de ataque.
1 - https://fortiguard.fortinet.com/psirt/FG-IR-25-151
Vulnerabilidades de DoS no Zoom Client
Duas vulnerabilidades, de severidade média, foram descobertas no Zoom Client para sistemas Windows. Essas falhas, notificadas nas CVE-2025-49464[1] CVSS 6.5 e CVE-2025-46789[2] CVSS 6.5, decorrem de um problema de buffer overflow nos produtos Zoom Client permitindo que um usuário autorizado, com acesso à rede, explore o sistema, causando uma condição de Denial of Service (DoS) que interrompe a disponibilidade do serviço.
As vulnerabilidades afetam diversos produtos Zoom para Windows. Abaixo, uma lista dos softwares afetados:
CVE-2025-49464:
Zoom Workplace para Windows antes da versão 6.4.0
Zoom Workplace VDI para Windows antes da versão 6.3.10 (exceto 6.1.7 e 6.2.15)
Zoom Rooms para Windows antes da versão 6.4.0
Zoom Rooms Controller para Windows antes da versão 6.4.0
Zoom Meeting SDK para Windows antes da versão 6.4.0
CVE-2025-46789:
Zoom Workplace para Windows antes da versão 6.4.5
Zoom Workplace VDI para Windows antes da versão 6.3.12 (exceto 6.2.15)
Zoom Rooms para Windows antes da versão 6.4.5
Zoom Rooms Controller para Windows antes da versão 6.4.5
Zoom Meeting SDK para Windows antes da versão 6.4.5
O Zoom lançou atualizações para corrigi-las. Os usuários são incentivados a aplicar os patches mais recentes para proteger seus sistemas. As atualizações estão disponíveis para download no portal oficial do Zoom.
