CVE-2025-5419

Falha de leitura e escrita fora de limites (out-of-bounds) no motor V8 do Chromium, explorável remotamente por uma página HTML maliciosa que corrompe heap dentro do processo do navegador. Foi reportada por pesquisadores do Google Threat Analysis Group (TAG) e o próprio Google confirmou exploração ativa antes da correção pública — está no catálogo KEV da CISA com prazo de mitigação em 26/06/2025. O CVSS 8.8 é coerente com o risco real: basta a vítima abrir uma página, sem privilégios ou autenticação envolvidos.

A vulnerabilidade é classificada como CWE-125 (leitura fora dos limites) e CWE-787 (escrita fora dos limites) dentro do V8, o motor JavaScript/WebAssembly do Chromium. Esse tipo de falha em engines JIT normalmente decorre de erro em otimizações de tipo, bounds-checking de arrays/TypedArrays ou compilação especulativa que assume limites de memória que o atacante consegue violar via objetos JavaScript manipulados.

O Google manteve o issue tracker (bug 420636529) restrito, prática padrão quando o bug ainda está sendo explorado in the wild e a correção completa não chegou a todos os usuários — por isso não há detalhamento público do trecho exato de código ou da estrutura interna afetada. O que se sabe oficialmente é limitado à descrição: leitura/escrita OOB no V8, disparada por HTML malicioso, resultando em corrupção de heap.

Corrupção de heap em V8 tipicamente serve como primitivo para escalar de execução de JavaScript arbitrário dentro do sandbox do renderer para controle de memória mais amplo, sendo peça de uma cadeia — sozinha, ela não necessariamente escapa do sandbox do Chrome, a menos que combinada com uma segunda falha (sandbox escape), algo comum em campanhas que usam bugs de V8 reportados pelo TAG.

O vetor é uma página HTML/JavaScript criada especificamente para acionar a condição fora de limites no V8. O único pré-requisito de interação é o usuário navegar até a página maliciosa (UI:R no vetor CVSS) — não há necessidade de autenticação, configuração não padrão ou privilégios elevados. Isso torna o ataque viável via phishing com link, anúncio malicioso ou comprometimento de site legítimo (watering hole).

O Google confirmou explicitamente que um exploit para essa CVE existia in the wild antes da correção completa — texto do próprio advisory: "Google is aware that an exploit for CVE-2025-5419 exists in the wild." A descoberta por Clément Lecigne e Benoît Sevens, do Google TAG, é relevante: esse time historicamente identifica bugs usados em campanhas direcionadas (spyware comercial, ataques a jornalistas, ativistas, diplomatas), embora o advisory não confirme publicamente o alvo ou o autor da campanha nesta CVE específica.

A cronologia mostra resposta em duas etapas: a falha foi reportada em 27/05/2025 e, um dia depois, o Google já havia mitigado o problema via mudança de configuração empurrada remotamente para o canal Stable em todas as plataformas — antes mesmo do patch binário completo, que só saiu em 02/06/2025 na versão 137.0.7151.68/.69. Isso sugere que a exploração ativa forçou uma mitigação de emergência via kill-switch de configuração antes do ciclo normal de release.

Atualizar o Google Chrome para 137.0.7151.68/.69 (Windows e Mac) ou 137.0.7151.68 (Linux) elimina a falha. Navegadores baseados em Chromium — Microsoft Edge, Opera e outros — precisam do patch equivalente do próprio fornecedor; a CISA cita explicitamente que o impacto se estende a esses produtos, e a Microsoft publicou entrada correspondente no MSRC para o Edge, mas a versão exata de correção do Edge não constava nas fontes consultadas aqui — verificar o advisory da Microsoft para o número exato.

Como mitigação temporária, o próprio Google já havia distribuído uma mudança de configuração server-side em 28/05/2025 que reduzia a exploração antes do patch binário — usuários que já estavam em versões atualizadas do Chrome nesse período receberam parte da proteção automaticamente, sem ação do usuário. Isso não substitui a atualização binária definitiva.

Não há workaround de configuração local confiável: desabilitar JavaScript quebra a usabilidade da maioria dos sites e não é uma mitigação realista para ambientes corporativos. Isolamento de navegador (sandboxing adicional, execução em VM/container descartável) reduz o impacto de uma eventual cadeia de exploração completa, mas é controle compensatório, não correção.

Nenhuma das fontes consultadas traz assinatura, IOC ou padrão de log específico associado à exploração desta CVE — o Google manteve os detalhes do bug restritos justamente para não expor a técnica de exploração enquanto a correção não se propagava. Na prática, detecção de exploração de bugs V8 costuma depender de telemetria endpoint (crash dumps do processo renderer do Chrome, comportamento anômalo de processo filho pós-navegação) e de indicadores de campanha entregues por threat intel, não de assinatura de rede genérica — não há sinal de rede confiável documentado para este caso específico.