CVE-2025-10585

Falha de type confusion no motor V8 do Chrome (CWE-843) que permite corrupção de heap ao processar uma página HTML maliciosa. Foi descoberta pelo Google Threat Analysis Group (TAG) — equipe que rastreia campanhas de exploração direcionada, geralmente ligadas a spyware comercial ou atores estatais — e o próprio Google confirmou exploração ativa antes da correção. Está no catálogo KEV da CISA com exploração confirmada, mas o EPSS é baixo (0,054), o que reflete que o uso conhecido foi direcionado e não massificado.

A falha está no V8, o motor JavaScript/WebAssembly do Chromium, e é classificada como type confusion (CWE-843): o motor trata um objeto ou valor como se fosse de um tipo diferente do que realmente é em memória. Esse tipo de bug tipicamente surge do compilador JIT (TurboFan) fazendo suposições de tipo em código otimizado que podem ser invalidadas por manipulação cuidadosa do JavaScript executado — quando a suposição falha e o motor não revalida o tipo, operações subsequentes leem ou escrevem além dos limites do objeto original, corrompendo o heap.

O advisory do Google e o registro no Chromium Issue Tracker (445380761) não detalham publicamente qual API ou trecho de código do V8 está envolvido — o acesso ao bug permanece restrito, prática padrão do Chromium até que a maioria dos usuários tenha atualizado. Não há, portanto, análise técnica pública detalhando a primitiva exata de corrupção.

O vetor de entrada é uma página HTML/JavaScript arbitrária servida ao navegador. O atacante controla o conteúdo do script que dispara a condição de tipo inválido, e a corrupção de heap resultante é a base para escalar de execução de JavaScript sandboxed para corrupção de memória controlada — passo típico para depois obter execução de código dentro do processo do renderer.

O vetor é uma página web maliciosa: a vítima precisa visitar ou ser redirecionada a uma URL controlada pelo atacante (UI:R — requer interação do usuário, como abrir um link). Não há exigência de autenticação, privilégio elevado ou configuração não padrão do navegador — a superfície é qualquer instalação padrão do Chrome/Chromium desktop antes da versão corrigida. AV:N e AC:L no vetor CVSS confirmam que a exploração é remota e não exige condições de rede ou timing complexas para o disparo inicial da corrupção.

O Google confirmou que um exploit para essa CVE existia in the wild no momento da correção, e ela foi reportada pelo TAG — equipe que historicamente descobre esses bugs ao investigar campanhas de spyware comercial contra jornalistas, dissidentes e outros alvos de alto valor, não exploração criminosa em massa. Isso é consistente com o EPSS baixo: a exploração conhecida foi direcionada, não distribuída via malvertising ou kits de exploit genéricos.

Uma vulnerabilidade de type confusion isolada em V8 normalmente entrega apenas corrupção de heap controlada dentro do processo renderer, sandboxed. Para execução de código com impacto prático (fora da sandbox, no sistema do usuário), o atacante tipicamente encadeia esse bug com uma segunda falha de sandbox escape — não há indicação nas fontes de que essa CVE por si só quebre a sandbox do Chrome.

Atualizar para Chrome 140.0.7339.185 (Linux) ou 140.0.7339.185/.186 (Windows/Mac) ou versão posterior elimina a falha. Como a atualização é feita automaticamente pelo Chrome na maioria das instalações, o passo prático é forçar a verificação de atualização e reiniciar o navegador — extensões e sessões abertas não aplicam o patch sem reinício completo do processo.

Quando o Chromium está embarcado em outro produto (caso citado no advisory da Siemens para o CADRA, que usa um componente Chromium sem correção disponível na época da publicação), a atualização direta do navegador não é possível até o fornecedor do produto liberar um patch. A mitigação recomendada nesse cenário é bloquear o acesso a conteúdo web não confiável ou externo a partir do sistema afetado — reduz drasticamente a superfície de exposição, mas não elimina o risco caso o próprio processo Chromium embarcado precise carregar conteúdo web como parte de sua função normal.

Não há mitigação de configuração (flag de linha de comando, política de grupo) documentada pelo fornecedor que neutralize especificamente esse bug do V8 sem atualizar o binário — desabilitar JIT do V8 reduziria a superfície de bugs de tipo dessa classe, mas não é uma opção suportada/documentada para uso geral e tem custo de performance alto, não sendo recomendada como substituto do patch.

O Google não divulgou indicadores de comprometimento, hashes de exploit ou padrões de tráfego associados à exploração observada — comum em casos reportados pelo TAG, onde detalhes de campanhas de spyware direcionado são mantidos restritos para não comprometer investigações em curso. Não há assinatura pública confiável para detectar tentativas de exploração desse CVE especificamente; o sinal mais direto disponível é a presença da entrada no catálogo KEV da CISA (adicionada em 23/09/2025, com prazo de correção definido para 14/10/2025), que serve como confirmação de exploração ativa, não como fonte de detecção em log.