# CVE-2025-5419 — Google Chromium V8 Out-of-Bounds Read/Write > [!high] CVSS 8.8 — CISA KEV — Heap Corruption no Motor JavaScript V8 do Chrome > Vulnerabilidade de leitura e escrita fora dos limites no motor JavaScript V8 do Google Chrome permite que um atacante remoto explore corrupção de heap via página HTML especialmente construída. Exploração ativa confirmada — CISA adicionou ao KEV em 2025-06-05. Atualizar para Chrome 137.0.7151.68 imediatamente. ## Visão Geral **CVE-2025-5419** é uma vulnerabilidade de **leitura e escrita fora dos limites (out-of-bounds read/write)** no motor JavaScript **V8** do Google Chrome. O V8 é o componente central responsável pela compilação e execução de JavaScript no Chrome e em todos os navegadores baseados no Chromium (Microsoft Edge, Opera, Brave, entre outros), tornando esta vulnerabilidade de impacto amplíssimo. A falha reside no gerenciamento de memória heap do V8: ao processar JavaScript especialmente elaborado contido em uma página HTML maliciosa, o motor pode ser induzido a ler ou escrever dados além dos limites de um buffer alocado. Isso resulta em **corrupção de heap**, que pode ser explorada para desvio de fluxo de execução (control-flow hijacking) ou execução arbitrária de código no contexto do processo do renderer do Chrome. O impacto é categorizado como **heap corruption**, o que normalmente requer uma cadeia de exploit (exploit chain) para escalada até execução de código no sistema operacional — frequentemente combinada com uma segunda vulnerabilidade de escape de sandbox (sandbox escape). A confirmação de exploração ativa pela CISA indica que atores de ameaça já possuem exploits funcionais para esta vulnerabilidade. A versão corrigida foi lançada em 2025-06-03 pelo Google como parte de uma atualização de segurança de alta prioridade. O V8 também é o motor JavaScript do Node.js, mas o vetor de ataque desta CVE é via navegador (página web maliciosa), não afetando diretamente aplicações server-side Node.js. ## Produtos Afetados | Fabricante | Produto | Versões Afetadas | Versão Corrigida | |-----------|---------|-----------------|-----------------| | Google | Chrome (Windows, macOS, Linux) | < 137.0.7151.68 | 137.0.7151.68 | | Microsoft | Edge (Chromium-based) | Versões baseadas em Chromium afetado | Atualização automática via Windows Update | | Opera Software | Opera | Versões baseadas em Chromium afetado | Atualizar via Opera Update | | Brave Software | Brave Browser | Versões baseadas em Chromium afetado | Atualizar via Brave Update | ## Métricas CVSS v3.1 | Métrica | Valor | |---------|-------| | Base Score | 8.8 (Alto) | | Vetor de Ataque | Rede | | Complexidade | Baixa | | Privilégios Necessários | Nenhum | | Interação do Usuário | Necessária (visitar página maliciosa) | | Impacto Confidencialidade | Alto | | Impacto Integridade | Alto | | Impacto Disponibilidade | Alto | ## Status de Exploração - **Exploração ativa:** Sim — confirmada pela CISA (adição ao KEV em 2025-06-05) - **PoC público:** Não confirmado publicamente (Google tipicamente não divulga até maioria dos usuários atualizar) - **Grupos conhecidos explorando:** Não atribuído publicamente - **Desde:** Junho 2025 A exploração de vulnerabilidades no motor V8 é recorrente e historicamente associada a grupos de espionagem sofisticados ([[Lazarus Group]], APTs patrocinados por estados), bem como a brokers de exploits zero-day. O padrão de divulgação do Google (confirmar exploração ativa sem divulgar detalhes técnicos imediatamente) é típico de vulnerabilidades exploradas antes do patch. ## CISA KEV Esta CVE foi adicionada ao catálogo **CISA Known Exploited Vulnerabilities** em **2025-06-05**, com prazo de mitigação para agências federais americanas em **2025-06-26**. - **Data de adição:** 2025-06-05 - **Prazo (FCEB agencies):** 2025-06-26 - **Ação requerida:** Aplicar mitigações conforme instruções do fornecedor (BOD 22-01) - **Descrição CISA:** "Google Chromium V8 contains an out-of-bounds read and write vulnerability that could allow a remote attacker to potentially exploit heap corruption via a crafted HTML page." ## Mitigação ### Patch Atualizar Google Chrome para a versão **137.0.7151.68 ou superior**: - **Windows/macOS/Linux:** Menu Chrome → Ajuda → Sobre o Google Chrome → aguardar atualização automática - **Administradores corporativos:** Forçar atualização via política de grupo (Google Workspace Admin Console) - **Advisory oficial:** [Chrome Stable Channel Update - June 2025](https://chromereleases.googleblog.com/) ### Workaround Não existe workaround adequado além da atualização. Como mitigação temporária enquanto o patch não é aplicado: 1. Desabilitar JavaScript no navegador (impede funcionalidade da maioria dos sites) 2. Utilizar navegador alternativo não baseado em Chromium (Firefox, Safari) temporariamente 3. Bloquear acesso a sites externos não-confiáveis via proxy corporativo ## Contexto de Ameaça Vulnerabilidades no V8 do Chrome são altamente valorizadas no mercado de zero-days e frequentemente integram exploit chains utilizadas em operações de espionagem de estado-nação e ataques direcionados de alto valor. O histórico recente inclui múltiplas CVEs V8 exploradas por grupos como [[Lazarus Group]] (Coreia do Norte), grupos APT russos e atores vinculados à China. ### TTPs MITRE ATT&CK - [[t1189-drive-by-compromise|T1189 — Drive-by Compromise]]: Vetor primário — visitar site malicioso aciona o exploit - [[t1203-exploitation-for-client-execution|T1203 — Exploitation for Client Execution]]: Execução de código via exploit V8 - [[t1190-exploit-public-facing-application|T1190 — Exploit Public-Facing Application]]: Exploração de navegador como aplicação cliente ### Atores de Ameaça Associados - [[Lazarus Group]]: historicamente associado a exploits Chrome/V8 em campanhas financeiras e espionagem - APTs não atribuídos publicamente (atribuição específica a esta CVE não confirmada) ## Relevância LATAM/Brasil O Google Chrome é o navegador dominante no Brasil, com participação de mercado superior a 70% segundo dados do StatCounter para 2025. Isso significa que **a grande maioria dos usuários corporativos e individuais brasileiros** está potencialmente exposta a esta vulnerabilidade caso não atualizem. No contexto corporativo brasileiro, Chrome é o navegador padrão em ambientes de trabalho de empresas de tecnologia, financeiras e do setor público. Equipes de segurança devem verificar se as políticas de atualização automática estão ativas em todos os endpoints gerenciados. O setor [[financeiro]] e [[governo]] são alvos de alto valor para os atores que exploram este tipo de vulnerabilidade. ## Referências - [NVD — CVE-2025-5419](https://nvd.nist.gov/vuln/detail/CVE-2025-5419) - [CISA KEV Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) - [Chrome Releases Blog](https://chromereleases.googleblog.com/) - [Google Security Research — V8](https://bugs.chromium.org/p/v8/issues/list)