Novas vulnerabilidades que permitiram invasão ao sistema do STJ colocam governo em alerta

Começou a circular entre servidores federais nesta sexta-feira, 27, um alerta emitido pela Rede Nacional de Ensino e Pesquisa, RNP – órgão vinculado ao Ministério da Ciência, Tecnologia e Inovações – sobre novas "vulnerabilidades críticas" nos sistemas da VMWare, que são usados por servidores de informática do poder público. Conforme mostrou Crusoé, falhas de segurança no software da empresa norte-americana foram exploradas por cibercriminosos que sequestraram dados do Superior Tribunal de Justiça no início de novembro, duas semanas depois de a desenvolvedora ter disponibilizado atualizações para a falha.

O comunicado da RNP "alerta para as recentes vulnerabilidades críticas encontradas na plataforma de virtualização VMWare", mas pondera que "até o momento da publicação deste alerta, não foram identificados códigos de exploração para as vulnerabilidades identificadas", indicando que ainda não houve registro do uso da falha de segurança para invasão de sistemas.

De acordo com o documento, uma falha permite "que atacantes locais com privilégios administrativos nos sistemas virtualizados sejam capazes de executar códigos arbitrários". Se explorada com sucesso, essa falha pode permitir a um usuário obter credenciais de administração dos sistemas. Outra brecha permite que usuários autenticados no sistema realizem "a injeção de comandos no sistema operacional do host com privilégios irrestritos".

A VMWare já providenciou atualizações para corrigir duas das falhas apontadas pela RNP. A empresa também já recomendou medidas paliativas para uma terceira vulnerabilidade, mas diz que irá divulgar correções para o problema em breve.

Nesta sexta-feira, o site do TRF-1 está fora do ar, sob suspeita de um ataque hacker. O tribunal disse que o portal foi desligado como parte de uma série de "medidas preventivas". Técnicos ouvidos por Crusoé dizem que ainda não é possível relacionar o ocorrido no tribunal com as vulnerabilidades alertadas pela Rede Nacional de Pesquisa.