Incorrect Authorization in Graphics

Falha de autorização incorreta (CWE-863) em múltiplos chipsets Qualcomm Snapdragon, no componente de GPU (micronode), que permite corrupção de memória quando uma sequência específica de comandos é executada sem a devida checagem de permissão. Está no catálogo KEV da CISA com exploração confirmada em ambiente real, mas o vetor de ataque é local (AV:L) e exige interação do usuário (UI:R) — não é uma falha explorável remotamente pela rede, o que muda bastante o perfil de risco em relação ao que o CVSS de 8.6 sugere isoladamente.

O problema está na camada que valida se um comando enviado ao subsistema de GPU (especificamente ao que a Qualcomm chama de 'micronode') tem autorização para ser executado. O CWE associado, 863 (Incorrect Authorization), indica que o mecanismo de checagem existe mas falha em algum cenário específico — não é ausência total de controle de acesso, é uma verificação que pode ser contornada ou é insuficiente diante de uma ordem particular de comandos.

A descrição do fornecedor fala em 'unauthorized command execution... ao executar uma sequência específica de comandos', o que sugere uma condição de ordenação (race ou state confusion) no driver ou firmware da GPU: um comando que isoladamente seria rejeitado ou tratado com privilégio baixo passa a ser aceito quando precedido ou sucedido por outro comando específico, alcançando um caminho de código que corrompe memória do kernel/driver GPU.

O Scope Changed (S:C) no vetor CVSS indica que o impacto atravessa o limite de segurança do componente vulnerável — ou seja, a corrupção de memória na GPU afeta recursos fora do componente que originou a falha, coerente com escalonamento de privilégio a partir do espaço de usuário até o kernel ou firmware da GPU. Isso é consistente com C:H/I:H/A:H: comprometimento total de confidencialidade, integridade e disponibilidade do sistema.

Não temos, nas fontes disponíveis, o detalhe de qual driver (KGSL, Adreno GPU driver) ou qual família específica de micronode está envolvida, nem o trecho de código exato. O bulletin da Qualcomm (referenciado mas não detalhado no material disponível) é a fonte primária para essa granularidade técnica.

O vetor AV:L (Local) e PR:N (sem privilégio prévio necessário) combinados com UI:R (requer interação do usuário) descrevem o padrão típico de exploração: um aplicativo instalado no dispositivo, ou uma ação do usuário que dispara a sequência de comandos, é o ponto de entrada. Não há indicação de exploração remota via rede — quem não tem capacidade de rodar código ou induzir uma ação no dispositivo-alvo não explora essa falha diretamente por essa CVE.

A CISA classifica a vulnerabilidade como exploração confirmada em ambiente real (presença no catálogo KEV, adicionada em 03/06/2025, com prazo de mitigação até 24/06/2025), e o enunciado do problema indica PoC pública disponível. Isso aponta para uso em cadeias de exploração local — por exemplo, um app malicioso ou processo com baixo privilégio buscando escalar privilégio até o kernel/GPU driver, cenário comum em campanhas de comprometimento de dispositivos Android via lojas alternativas, sideload ou exploração encadeada com outra vulnerabilidade de entrada inicial.

A CISA não classifica a falha como usada em ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). O nível de detalhe público sobre quem exatamente explorou e em qual campanha não está nas fontes disponíveis aqui — a nota oficial da CISA remete diretamente ao bulletin da Qualcomm e ao NVD para mais contexto, sem fornecer atribuição.

A própria CISA recomenda: aplicar as mitigações conforme as instruções do fornecedor, seguir a orientação BOD 22-01 aplicável para serviços em nuvem, ou descontinuar o uso do produto se não houver mitigação disponível. Para esta CVE especificamente, isso significa aplicar a atualização de firmware/driver de GPU disponibilizada pela Qualcomm e distribuída pelo fabricante do dispositivo (OEM) — a CISA é explícita: 'Please check with specific vendors (OEMs) for information on patching status', porque a Qualcomm publica o patch para os fabricantes de chipset, mas cada OEM (Samsung, Xiaomi, Motorola, etc.) decide quando e para quais modelos libera a atualização de sistema/firmware ao usuário final.

Não temos, nas fontes disponíveis, a lista exata de chipsets Snapdragon afetados nem os números de versão de firmware/driver corrigidos — essa granularidade está no bulletin de junho de 2025 da Qualcomm, que deve ser consultado diretamente para mapear modelo de chipset contra versão corrigida. Não é seguro presumir que 'atualizar o Android' resolve por si só: a correção depende do patch de firmware do driver GPU sendo integrado pelo OEM na build do dispositivo, e dispositivos fora da linha de suporte do OEM podem nunca receber o patch.

Como controle compensatório em ambientes que não podem atualizar (dispositivo fora de suporte do OEM), a única mitigação real é restringir a instalação de aplicativos não confiáveis (a exploração exige rodar código local ou induzir interação), já que não existe reconfiguração de sistema, WAF ou controle de rede que neutralize uma falha de autorização dentro do driver de GPU. Isolamento de MDM/EMM que restrinja instalação de apps de fontes desconhecidas reduz a superfície, mas não elimina o risco.

Não há assinatura ou padrão de log público e confiável descrito nas fontes disponíveis para identificar tentativas de exploração desta falha — a exploração ocorre dentro do driver/firmware da GPU, camada que tipicamente não gera log de aplicação acessível a ferramentas de EDR/SIEM tradicionais em Android. Sinais indiretos possíveis incluem crashes recorrentes do processo/driver de GPU (kernel panic ou reinício do subsistema Adreno) sem causa aparente, especialmente após instalação de apps de origem não verificada, mas isso não é uma indicação confirmada de exploração — apenas um indicador a investigar. A ausência de telemetria confiável específica para esta CVE é, em si, uma informação relevante: detecção depende primariamente de inventário de patch (saber se o dispositivo recebeu o firmware corrigido) em vez de detecção comportamental.