PT-2025-52244 · Arduino · Arduino Ide

Karmaz95 + 1 · Publicado 2025-12-18 · Atualizado 2026-02-19 · CVE-2025-64723

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Arduino IDE anteriores à 2.3.7

Descrição O Arduino IDE para macOS, antes da versão 2.3.7, possuía entitlements de segurança excessivamente permissivos. Essa configuração contornava as proteções do Hardened Runtime do macOS, permitindo que atacantes injetassem bibliotecas dinâmicas maliciosas no processo da aplicação. A exploração bem-sucedida concedia aos atacantes acesso a todas as permissões de Transparency, Consent, and Control (TCC) atribuídas à aplicação.

Recomendações Atualize para a versão 2.3.7 ou posterior.

Exploit

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2025-64723

GHSA-VF5J-XHWQ-8VQJ

Produtos afetados

Arduino Ide

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64723.json · Exploit
• https://github.com/arduino/arduino-ide/releases/tag/2.3.7 · Nota
• https://github.com/arduino/arduino-ide/commit/1fa0fd31c8d6b62f19332e33713a8c5b0f4ed6f9 · Correção
• https://github.com/arduino/arduino-ide/security/advisories/GHSA-vf5j-xhwq-8vqj · Aviso do Fabricante
• https://github.com/arduino/arduino-ide/pull/2805/commits/2f7667136ee95ce07dde23c49d2de526b45e3293 · Nota
• https://github.com/arduino/arduino-ide/pull/2805 · Nota
• https://twitter.com/VulmonFeeds/status/2001831149778157836 · Publicação no Twitter
• https://t.me/CVEtracker/40159 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-64723 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-64723 · Nota de Segurança
• https://support.arduino.cc/hc/en-us/articles/24329484618652-ASEC-25-004-Arduino-IDE-v2-3-7-Resolves-Multiple-Vulnerabilities · Aviso do Fabricante
• https://t.me/cveNotify/152517 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2001728030017011867 · Publicação no Twitter