CVE-2025-48543

Use-after-free no Android Runtime (ART) que permite escapar de um sandbox (a descrição do Google cita especificamente o sandbox do Chrome) e atacar o processo system_server, alcançando escalonamento de privilégio local sem interação do usuário. Está no catálogo KEV da CISA com confirmação de exploração limitada e direcionada, o que eleva a prioridade mesmo sendo uma falha local que exige execução de código prévia no dispositivo.

A falha é um use-after-free (CWE-416) no componente Android Runtime, catalogada internamente pelo Google sob o bug A-421834866 e corrigida em 'múltiplos locais' segundo a descrição oficial — ou seja, não é um ponto único de código, mas uma classe de condição de corrida/liberação de memória em mais de um caminho do ART. O commit público associado ao bug mostra uma correção em JNI::NewObject (runtime/jni/jni_internal.cc e check_jni.cc) que passou a lançar exceção ao tentar instanciar classes abstratas via JNI, algo que antes era permitido silenciosamente.

O padrão sugerido pela correção é de confusão de tipo/estado inconsistente de objeto: ao permitir a construção de uma instância de classe abstrata por JNI sem a validação correta, o runtime pode acabar com um objeto cujo tamanho, layout ou vtable não correspondem ao que o restante do ART espera, abrindo caminho para um objeto ser liberado (ou tratado como inválido) enquanto ainda há referências ativas apontando para ele — o clássico cenário de UAF explorável para corrupção controlada de heap.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N/S:C) deixa claro o modelo de ameaça: o atacante já precisa ter algum nível de execução de código local com privilégio baixo (por exemplo, dentro de um processo sandboxed do navegador ou de um app) antes de acionar o bug no ART. O 'Scope: Changed' (S:C) reflete exatamente a mecânica descrita — o impacto extravasa o processo comprometido inicialmente e afeta o system_server, que roda com privilégios muito superiores.

Pré-requisito real: o atacante precisa de um ponto de partida com execução de código já estabelecido e isolado por sandbox — o exemplo citado pelo próprio Google é o sandbox de renderização do Chrome no Android. A partir desse ponto de apoio, sem qualquer interação do usuário, o UAF no ART é acionado para corromper estado interno de objeto/memória e obter execução com privilégios equivalentes aos do system_server, que roda como usuário system e tem acesso amplo ao framework Android.

Isso não é uma vulnerabilidade explorável remotamente por si só: ela é a segunda etapa de uma cadeia. O boletim de segurança de setembro de 2025 do Android observa exploração 'limitada e direcionada' tanto para esta CVE quanto para a CVE-2025-38352, o que indica um encadeamento típico de campanhas de spyware/vigilância direcionada — comprometimento inicial (via navegador ou outro vetor) seguido de escalonamento via ART para assumir controle do sistema.

A presença no catálogo KEV da CISA confirma exploração ativa in-the-wild, mas não há evidência nas fontes de que a exploração seja trivial ou massificada; o padrão descrito (sandbox escape + UAF em runtime gerenciado) tende a exigir engenharia de exploit não trivial e normalmente aparece em campanhas de alto valor, não em ataques oportunistas em massa.

A correção está nos patches de segurança Android com nível 2025-09-05 ou posterior, cobrindo os ramos AOSP 13, 14, 15 e 16. Não há flag de configuração, mitigação de runtime ou controle compensatório documentado pelo fornecedor — a única correção real é atualizar o dispositivo/ROM para um build com esse patch level ou posterior; o commit de referência no AOSP (bug A-421834866) mostra a correção pontual em JNI::NewObject, mas o Google afirma que a falha existia em múltiplos locais, então aplicar apenas esse commit isoladamente não fecha todas as variantes.

Como é falha em componente de sistema (ART), não existe mitigação client-side equivalente a WAF ou hardening de aplicação: a superfície de exploração depende do runtime gerenciado do próprio Android, não de uma aplicação específica que o operador possa isolar. Dispositivos que não recebem mais atualizações de segurança (fim de vida do fabricante) ficam permanentemente expostos a esta classe de escalonamento; não há paliativo de configuração que reduza esse risco de forma confiável — a única alternativa realista é a atualização do sistema operacional.

Não há assinatura de rede ou indicador de comprometimento público confiável nas fontes consultadas — trata-se de uma falha de memória local dentro do runtime gerenciado (ART), sem tráfego de rede característico associado ao próprio bug. Ambientes com telemetria de dispositivo podem investigar crashes anômalos ou reinícios do system_server correlacionados no tempo com atividade de processos sandboxed (por exemplo, o renderizador do navegador), mas isso não constitui detecção específica desta CVE, apenas um indício genérico de exploração de UAF em componentes de sistema.