Falhas do tipo CWE-669

88 resultados

Transferência incorreta de recursos entre contextos de segurança

Ocorre quando um recurso (arquivo, memória, conexão, credencial) é movido ou compartilhado entre contextos de segurança diferentes (ex: processo privilegiado para não-privilegiado, zona confiável para não-confiável) sem validação ou proteção adequada. O recurso fica acessível a quem não deveria, ou perde suas garantias de segurança na transição.

Exemplo

Um aplicativo web salva dados sensíveis do usuário em /tmp com permissões 0644 (legível por todos), e outro processo de menor privilégio consegue ler. Ou um serviço transmite um file descriptor aberto para um cliente não autenticado, que ganha acesso ao arquivo sem passar por controles de autorização.

Como mitigar

Valide e controle explicitamente cada transferência de recurso: revise quem pode acessar o quê após a transferência, use permissões restritivas (0600), criptografe dados sensíveis em trânsito, e aplique re-autenticação ou re-autorização quando recursos cruzam limites de segurança.

CVE-2026-122124MEDIUMOn Yealink UVC40 E2 devices before 319.410.0.71, an attacker with short-term physical access can steal Wi‑Fi credentials via the USB interfaEPSS 0.1%CVE-2026-40225MEDIUMIn udev in systemd before 260, local root execution can occur via malicious hardware devices and unsanitized kernel output.EPSS 0.1%CVE-2025-59378MEDIUMIn guix-daemon in GNU Guix before 1618ca7, a content-addressed-mirrors file can be written to create a setuid program that allows a regular EPSS 0.1%CVE-2026-103106HIGHPexip Infinity before 38.2, plus 39.0, 39.1, and 40.0, is affected by improper input validation within an internal Pexip Infinity service thEPSS 0.1%CVE-2026-106553LOWIn sshd in OpenSSH before 10.6, credentials can incorrectly persist after failure of a GSSAPIAuthentication authentication attempt.EPSS 0.1%CVE-2026-106555LOWIn sshd in OpenSSH before 10.6, GSSAPIAuthentication authentication state can incorrectly be persisted across authentication attempts.EPSS 0.1%CVE-2026-41525MEDIUMKDE Dolphin before 25.12.3 allows applications in a Flatpak (or with AppArmor confinement) to open folders outside of the application sandboEPSS 0.1%CVE-2026-47574HIGHNVIDIA vGPU Virtual GPU Manager for Linux contains a vulnerability where an attacker could cause incorrect resource transfer between spheresEPSS 0.1%