A vulnerabilidade é encontrada na funcionalidade de emulação USB do bhyve, especificamente quando ele é configurado para emular dispositivos em um controlador USB virtual (XHCI). Se explorada, essa falha pode permitir a execução de código malicioso, representando uma séria ameaça aos sistemas que executam versões vulneráveis do FreeBSD. bhyve é um hypervisor projetado para executar sistemas operacionais convidados dentro de máquinas virtuais (VMs). O problema surge da validação de limite insuficiente no código de emulação USB. Um sistema operacional convidado privilegiado pode disparar uma leitura fora dos limites no heap, o que pode potencialmente escalar para gravações arbitrárias. Essa falha abre a porta para uma série de ataques, incluindo travar o hypervisor ou atingir a execução de código no processo do espaço do usuário bhyve do host, que geralmente é executado com privilégios de root. Essa vulnerabilidade é especialmente preocupante, pois permite que um ator malicioso, com controle sobre uma VM convidada, trave o hipervisor ou até mesmo execute código arbitrário na máquina host. Embora o bhyve seja protegido pelo sandbox Capsicum, que restringe as capacidades do processo, a falha ainda representa um risco significativo se não for corrigida.
Esta vulnerabilidade foi descoberta e divulgada de forma responsável ao Projeto FreeBSD por pesquisadores de segurança da Synacktiv.
No momento, não há solução alternativa disponível para CVE-2024-41721. No entanto, VMs convidadas que não empregam emulação XHCI para dispositivos USB permanecem inalteradas por essa vulnerabilidade.
O FreeBSD Project recomenda fortemente que todos os usuários atualizem seus sistemas para as últimas versões corrigidas do FreeBSD: 14.1-STABLE, 14.1-RELEASE-p5, 14.0-RELEASE-p11, 13.4-STABLE, 13.4-RELEASE-p1 ou 13.3-RELEASE-p7. É importante ressaltar que os sistemas operacionais convidados que utilizam emulação XHCI para dispositivos USB precisarão ser reiniciados para que o patch seja totalmente efetivo.
Meta notificou autoridades de que cerca de 20.225 contas do Instagram podem ter sido sequestradas…
Microsoft fechou junho de 2026 com o maior Patch Tuesday da historia: 206 CVEs, incluindo…
O GitHub anunciou que o npm versao 12 desligara por padrao a execucao automatica de…
CISA adiciona CVE-2026-42271 ao KEV: bug no LiteLLM da BerryAI vira RCE não autenticada quando…
Mid and South Essex confirma 2.380 registros comprometidos, somando-se aos 33 mil do Bedfordshire —…
Trend Micro confirma que Gamaredon (Earth Dahu) e SHADOW-EARTH-066 ainda exploram a CVE-2025-8088 no WinRAR…