Alerta KEV de CISA vulnerabilidades críticas no Android e Linux que permitem escalada de privilégios e vazamentos de contêineres

CISA incluiu no seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) duas falhas que colocam em risco tanto dispositivos Android como infra-estruturas baseadas no Linux: um transbordamento inteiro no framework Android que permite escalada de privilégios sem interação do usuário (CVE-2025-48595) e uma falha no subsistema cgroups v1 do kernel do Linux que facilita o escape de contêineres e a obtenção de root no host (CVE-2022-0492). A inclusão no KEV activa obrigações operacionais para agências federais e funciona como um sinal de urgência para empresas e operadores de infra-estruturas críticas. Mais informações sobre o catálogo de CISA estão disponíveis na web oficial da agência.

A falha no Android, relatada pelo Google, afeta as versões 14 a 16 do sistema operacional e pode ser explorada sem que a vítima faça nada, classificando-o como um vetor de tipo “zero-click”. As falhas que não requerem interação aumentam significativamente o risco em ambientes móveis, porque permitem compromissos discretos e persistentes. O Google incorporou a correção nos adesivos de junho de 2026; as organizações e usuários devem verificar e aplicar esses adesivos através de seus canais OEM ou através de políticas MDM/EMM em ambientes corporativos. Consulte o boletim de segurança Android para confirmar os níveis de adesivo e as indicações do fabricante: https://source.android.com/security/bulletin.

O outro defeito, CVE-2022-0492, afeta múltiplos ramos do kernel (desde versões 2.6 até séries 5.x indicadas pelos mantenedores) e reside na função cgroup_release_agent_write() de cgroups v1. Pesquisas públicas mostraram como uma execução local maliciosa pode explorar a falta de verificação de autenticação para sair de um contentor e obter privilégios de root no anfitrião, especialmente quando os contentores têm capacidades elevadas. Em ambientes cloud e clusters Kubernetes isso supõe um risco crítico: um recipiente comprometido pode se tornar uma porta ao resto do cluster e a máquinas anfitriãs. Análises técnicas adicionais podem ser consultadas em publicações de segurança como Aqua Security e Unit42 de Palo Alto Networks: Aqua Security e Unit42 (Palo Alto Networks), e a entrada pública do NVD para o CVE está em https://nvd.nist.gov/vuln/detail/cve-2022-0492.

O que as organizações devem fazer agora mesmo? A primeira e mais importante ação é adesivo: aplicar os níveis de segurança publicados pelos fornecedores (parches do Android para dispositivos e versões de kernel corrigidas para hosts). Se o adesivo não puder ser aplicado imediatamente, reduza a superfície de ataque: evite executar contentores com capacidades desnecessárias, não utilize contentores privilegiados, transponha cargas críticas a nós isolados e considere mover cargas para ambientes que implementem cgroups v2 quando possível. A nível operacional, active controlos de mitigação como perfis seccomp restritivos, limitação de capacidades (capability dropping), e políticas de rede que segmentem serviços críticos.

Também é imprescindível instrumentar detecções: monitorize anomalias na criação de processos, alterações namespaces, escrituras incomuns para release_agent ou acessos a /proc e/sys que não sejam habituais, e alerte sobre escaladas de privilégios locais. Implemente EDR e registros kernel-level onde seja viável, e verifique integridade de imagens e configurações de orquestradores. Se detectar atividade suspeita, isole as instâncias afetadas e faça um resgate forense antes de reintegrá-las.

Do ponto de vista da governança e continuidade, mantenha um inventário atualizado de ativos (dispositivos Android corporativos, versões de kernel em hosts e nodos), priorice segundo exposição e criticidade, e experimente adesivos em ambientes de staging para minimizar riscos de regressão. Lembre-se de que a CISA fixou um prazo para remediação no seu catálogo; para entidades sob a Directiva BOD 22‐01 isso não é opcional. A janela de exposição pode ser curta: aplicar adesivos, mitigar e monitorizar urgentemente reduz a probabilidade de intrusões bem sucedidas.

Embora a CISA não tenha marcado estes itens como explorados por grupos de ransomware, a exploração dirigida já foi apontada pelo Google para o caso do Android e as implicações de escape de contêineres são bem conhecidas na comunidade de segurança; portanto, a resposta deve ser proativa. Para consultar o catálogo KEV e confirmar prazos e requisitos, visite a página oficial do CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Manter adesivos por dia, endurecer configurações de contentor e dispor de detecção eficaz continua a ser a melhor defesa contra estas ameaças.