{"id":1251,"date":"2026-06-25T09:14:31","date_gmt":"2026-06-25T12:14:31","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/06\/25\/cve-2025-67038-injecao-de-codigo-no-lantronix-eds5000-com-ex\/"},"modified":"2026-06-25T09:14:31","modified_gmt":"2026-06-25T12:14:31","slug":"cve-2025-67038-injecao-de-codigo-no-lantronix-eds5000-com-ex","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/06\/25\/cve-2025-67038-injecao-de-codigo-no-lantronix-eds5000-com-ex\/","title":{"rendered":"CVE-2025-67038: Inje\u00e7\u00e3o de C\u00f3digo no Lantronix EDS5000 com Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Nesta quinta-feira, 25 de junho de 2026, o ecossistema de seguran\u00e7a cibern\u00e9tica amanheceu sob alerta m\u00e1ximo<\/strong>. A CVE-2025-67038<\/strong>, uma vulnerabilidade de inje\u00e7\u00e3o de c\u00f3digo no dispositivo Lantronix EDS5000<\/strong>, entrou oficialmente para o cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities)<\/strong>, o que significa que h\u00e1 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> confirmada em ambientes reais. N\u00e3o se trata de um exerc\u00edcio te\u00f3rico: atacantes j\u00e1 est\u00e3o comprometendo sistemas, executando comandos com privil\u00e9gios de root e abrindo portas para movimenta\u00e7\u00e3o lateral em redes industriais, corporativas e de infraestrutura cr\u00edtica. A falha, classificada como HIGH<\/strong> e com vetor de rede, permite a inje\u00e7\u00e3o de comandos arbitr\u00e1rios de sistema operacional atrav\u00e9s do par\u00e2metro de nome de usu\u00e1rio \u2014 um ponto de entrada trivial que dispensa autentica\u00e7\u00e3o pr\u00e9via em diversas implanta\u00e7\u00f5es.<\/p>\n

Este alerta n\u00e3o chega isolado. O boletim de hoje traz ainda tr\u00eas vulnerabilidades igualmente graves no Ubiquiti UniFi OS<\/strong> \u2014 CVE-2026-34910<\/strong> (inje\u00e7\u00e3o de comando), CVE-2026-34909<\/strong> (path traversal) e CVE-2026-34908<\/strong> (controle de acesso impr\u00f3prio) \u2014 todas com status de explora\u00e7\u00e3o ativa e listadas no KEV. Some-se a isso as divulga\u00e7\u00f5es da Mandiant sobre ataques zero-day ao Cisco SD-WAN<\/strong> que resultaram em acesso root, e o cen\u00e1rio se torna inequ\u00edvoco: estamos diante de uma ofensiva coordenada ou, no m\u00ednimo, de uma converg\u00eancia perigosa de campanhas contra dispositivos de borda e equipamentos de conectividade industrial. O Lantronix EDS5000<\/strong>, um servidor de dispositivos seriais amplamente utilizado em automa\u00e7\u00e3o predial, sistemas de energia, sa\u00fade e manufatura, \u00e9 o alvo principal desta an\u00e1lise.<\/p>\n

Para equipes de seguran\u00e7a, cada minuto conta. A CVE-2025-67038 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa um risco tang\u00edvel de comprometimento total do dispositivo, escalada de privil\u00e9gios, roubo de credenciais, interrup\u00e7\u00e3o operacional e exposi\u00e7\u00e3o de dados regulados por legisla\u00e7\u00f5es como LGPD<\/strong>, GDPR<\/strong> e HIPAA<\/strong>. Neste artigo, voc\u00ea encontrar\u00e1 uma disseca\u00e7\u00e3o t\u00e9cnica completa, orienta\u00e7\u00f5es pr\u00e1ticas de remedia\u00e7\u00e3o e o contexto necess\u00e1rio para agir AGORA. Na JRT Technology Solutions<\/strong>, nosso SOC<\/strong> j\u00e1 est\u00e1 monitorando alertas CISA KEV em tempo real e nossas equipes de resposta a incidentes est\u00e3o mobilizadas para clientes com contratos ativos de gest\u00e3o de vulnerabilidades. Se voc\u00ea opera infraestrutura com dispositivos Lantronix ou gerencia frotas de equipamentos de borda, continue lendo \u2014 este conte\u00fado foi preparado para ajud\u00e1-lo a proteger seu ambiente.<\/p>\n

O que \u00e9 a CVE-2025-67038 e por que sua explora\u00e7\u00e3o ativa \u00e9 cr\u00edtica<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2025-67038<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.1 \u2014 HIGH (CVSS v3.1)<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (Adjacente ou Remoto, dependendo da exposi\u00e7\u00e3o)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nLantronix EDS5000 Series (firmware anterior ao patch de 12\/06\/2026)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-94: Improper Control of Generation of Code (‘Code Injection’)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n25\/06\/2026 (entrada no CISA KEV)<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 Firmware vers\u00e3o 1.8.3_build20260612 (Lantronix)<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2025-67038<\/strong> \u00e9 uma falha de inje\u00e7\u00e3o de c\u00f3digo que reside no processamento do campo username<\/em> durante o procedimento de autentica\u00e7\u00e3o do Lantronix EDS5000<\/strong>. Diferentemente de vulnerabilidades de inje\u00e7\u00e3o tradicionais que exigem inputs complexos ou condi\u00e7\u00f5es de corrida, este vetor \u00e9 alarmantemente simples: um atacante que consiga alcan\u00e7ar a interface de login do dispositivo \u2014 seja via rede local, seja atrav\u00e9s de um painel exposto \u00e0 Internet \u2014 pode injetar comandos de sistema operacional diretamente no par\u00e2metro de nome de usu\u00e1rio. Esses comandos s\u00e3o executados com privil\u00e9gios de root<\/strong> no sistema operacional subjacente, um Linux embarcado customizado.<\/p>\n

O fato de a falha ter sido adicionada ao cat\u00e1logo Known Exploited Vulnerabilities da CISA<\/strong> nesta data significa que ag\u00eancias governamentais dos Estados Unidos e parceiros internacionais j\u00e1 detectaram campanhas ativas utilizando esse vetor. A designa\u00e7\u00e3o zero-day<\/strong> aplica-se aqui porque, embora um patch esteja dispon\u00edvel desde 12 de junho de 2026, a explora\u00e7\u00e3o come\u00e7ou antes da ampla distribui\u00e7\u00e3o da corre\u00e7\u00e3o, e muitas organiza\u00e7\u00f5es ainda n\u00e3o aplicaram o firmware atualizado. Para empresas, isso representa uma janela zero de prote\u00e7\u00e3o<\/strong>: no intervalo entre a descoberta do exploit e a aplica\u00e7\u00e3o do patch, n\u00e3o h\u00e1 defesa eficaz al\u00e9m de medidas compensat\u00f3rias.<\/p>\n

Na JRT Technology Solutions<\/strong>, implementamos varredura cont\u00ednua de CVEs para frotas corporativas, e este \u00e9 exatamente o tipo de vulnerabilidade que aciona alertas cr\u00edticos em nosso SOC<\/strong>. Dispositivos de conectividade como o EDS5000 frequentemente ficam fora do radar dos invent\u00e1rios de ativos, criando pontos cegos perigosos. Nossa plataforma de gest\u00e3o de vulnerabilidades j\u00e1 mapeia automaticamente todas as inst\u00e2ncias afetadas em ambientes sob monitoramento, permitindo que as equipes de seguran\u00e7a ajam antes que os atacantes explorem a brecha.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada da CVE-2025-67038 e do mecanismo de inje\u00e7\u00e3o<\/h3>\n

Para compreender a gravidade da CVE-2025-67038 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong>, \u00e9 necess\u00e1rio mergulhar no funcionamento interno do Lantronix EDS5000<\/strong>. Este dispositivo atua como um servidor de terminais seriais, convertendo portas RS-232\/422\/485 em conex\u00f5es TCP\/IP. Ele \u00e9 utilizado para integrar equipamentos legados \u2014 controladores l\u00f3gicos program\u00e1veis (PLCs), sensores industriais, sistemas de HVAC, dispositivos m\u00e9dicos e leitores de badge \u2014 \u00e0s redes corporativas modernas. Sua interface de gerenciamento \u00e9 acess\u00edvel via HTTP\/HTTPS, Telnet e SSH, e \u00e9 justamente no m\u00f3dulo de autentica\u00e7\u00e3o web que a vulnerabilidade se manifesta.<\/p>\n

Quando um usu\u00e1rio submete credenciais, o backend do dispositivo processa o campo username<\/code> passando-o para uma fun\u00e7\u00e3o de sistema que executa um script de valida\u00e7\u00e3o. O problema \u00e9 que n\u00e3o h\u00e1 sanitiza\u00e7\u00e3o adequada da entrada. Caracteres especiais do shell \u2014 como ;<\/code>, |<\/code>, `<\/code> ou $()<\/code> \u2014 n\u00e3o s\u00e3o neutralizados antes da concatena\u00e7\u00e3o com o comando de sistema. Consequentemente, um atacante pode fechar o comando pretendido e anexar instru\u00e7\u00f5es arbitr\u00e1rias. Por exemplo, uma string maliciosa no campo de usu\u00e1rio poderia encerrar a chamada original com um delimitador e, em seguida, instruir o sistema a baixar e executar um payload remoto, modificar arquivos de configura\u00e7\u00e3o, criar contas de backdoor ou estabelecer uma shell reversa para um servidor de comando e controle.<\/p>\n

O privil\u00e9gio de execu\u00e7\u00e3o \u00e9 root<\/strong> porque o daemon de autentica\u00e7\u00e3o roda como superusu\u00e1rio no sistema embarcado. Isso ocorre por decis\u00e3o de design: o processo precisa ler arquivos de sombra de senha e modificar configura\u00e7\u00f5es de rede, algo que exige eleva\u00e7\u00e3o. A aus\u00eancia de mecanismos de drop de privil\u00e9gios<\/em> ou isolamento via containers torna a falha ainda mais perigosa. Uma vez comprometido, o dispositivo se torna um n\u00f3 totalmente controlado pelo invasor, capaz de inspecionar tr\u00e1fego serial, manipular dados de telemetria, ou servir como piv\u00f4 para ataques a sistemas mais profundos na rede OT (Tecnologia Operacional).<\/p>\n

O CWE-94<\/strong> associado \u2014 Improper Control of Generation of Code<\/em> \u2014 \u00e9 uma das categorias mais cr\u00edticas no desenvolvimento de software. Diferentemente de inje\u00e7\u00f5es SQL, que se limitam a consultas de banco de dados, a inje\u00e7\u00e3o de c\u00f3digo permite a execu\u00e7\u00e3o direta no sistema hospedeiro, essencialmente transformando a aplica\u00e7\u00e3o em um shell remoto. O CVSS de 8.1 reflete essa gravidade: o vetor de ataque \u00e9 network<\/strong> (AV:N), a complexidade \u00e9 baixa (AC:L), privil\u00e9gios n\u00e3o s\u00e3o exigidos (PR:N), e o impacto em confidencialidade, integridade e disponibilidade \u00e9 alto (C:H\/I:H\/A:H). A \u00fanica mitiga\u00e7\u00e3o atenuante no score \u00e9 o fato de que, em algumas configura\u00e7\u00f5es, o acesso \u00e0 interface de login pode exigir proximidade de rede (Adjacent Network), mas na pr\u00e1tica muitos dispositivos s\u00e3o expostos \u00e0 Internet ou a sub-redes corporativas amplamente acess\u00edveis.<\/p>\n

Produtos e vers\u00f5es afetados pela CVE-2025-67038<\/h3>\n

O escopo prim\u00e1rio da CVE-2025-67038<\/strong> cobre a fam\u00edlia Lantronix EDS5000<\/strong>, mas a natureza da falha levanta preocupa\u00e7\u00f5es sobre poss\u00edveis variantes em outros produtos do ecossistema Lantronix que compartilham a mesma base de c\u00f3digo. Abaixo est\u00e1 a lista detalhada:<\/p>\n