CVE-2025-11919: JVM Padrão: Uso Inseguro de /tmp Permite Sequestro de Classpath

Visão geral

A CVE-2025-11919 descreve uma fraqueza na Java Virtual Machine (JVM) padrão, em que a JVM pode acessar arquivos e diretórios sob /tmp/, incluindo o diretório temporário de outro usuário na mesma instância de nuvem. Segundo o registro, um arquivo de inicialização usado na partida da JVM existe no diretório vulnerável, e arquivos colocados ali podem ser resolvidos antes das bibliotecas legítimas no classpath. O registro não identifica o produto nem o fornecedor. A CERT/CC é a autoridade numeradora (CNA) da CVE.

Impacto

O registro descreve um cenário em que um agente com acesso ao espaço temporário compartilhado pode influenciar quais arquivos .jar ou diretórios a JVM resolve primeiro, o que poderia levar ao carregamento de classes controladas pelo atacante durante a inicialização.
A pontuação base CVSS 3.1 informada é 9,6 (crítica), com alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade e com escopo alterado.
O vetor de ataque informado é de rede (AV:N), enquanto a descrição se refere ao acesso a um espaço /tmp compartilhado na mesma instância. Essa diferença deve ser verificada com o aviso oficial.

Produtos e versões afetados

O registro não contém entradas de produtos, versões ou plataformas afetados.
As versões afetadas são desconhecidas com base nas informações disponíveis.
A versão e a distribuição do ambiente Java afetadas não são informadas no registro.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA.
Não há exploração confirmada nas fontes consultadas.
O registro inclui uma probabilidade EPSS de 0,00487 e um percentil de 0,40203, que estimam a probabilidade de exploração e não a confirmam.

Correção e mitigação

O registro não lista uma versão corrigida. A ausência de versão corrigida não significa que não exista correção; consulte o aviso da CERT/CC vinculado no registro e a orientação do fornecedor da sua distribuição da JVM.
Restrinja o acesso a diretórios temporários compartilhados e evite executar cargas de trabalho sensíveis da JVM em instâncias onde usuários locais não confiáveis compartilham /tmp.
Use locais temporários privados por usuário, com permissões restritivas, em vez de diretórios compartilhados.
Mantenha as entradas do classpath limitadas a locais controlados e não compartilhados, e verifique a integridade das bibliotecas antes da inicialização.
Aplique as atualizações do fornecedor assim que houver correção publicada para a sua versão da JVM.

Orientações de detecção

Monitore a criação ou substituição de arquivos .jar e diretórios em /tmp por contas diferentes do usuário proprietário.
Revise os logs de inicialização da JVM e a configuração do classpath em busca de entradas inesperadas ou carregamento de classes a partir de locais temporários.
Compare os hashes das bibliotecas em sistemas críticos com linhas de base conhecidas para identificar arquivos substituídos.

Limitações das informações disponíveis

O produto, as versões e as plataformas afetadas não são identificados no registro.
Não há versão corrigida nem correção do fornecedor listada.
Não há classificação CWE atribuída no registro.
As datas de publicação e a data do EPSS no registro devem ser verificadas em relação à entrada oficial da CVE.
O registro referencia um repositório de divulgação de terceiros; seu conteúdo não foi utilizado nesta análise.

Perguntas frequentes

O que é a CVE-2025-11919?

É uma falha crítica na Java Virtual Machine padrão em que arquivos do diretório compartilhado /tmp podem influenciar quais bibliotecas são carregadas do classpath durante a inicialização. O registro informa pontuação base CVSS 3.1 de 9,6.

Existe correção para a CVE-2025-11919?

O registro não lista uma versão corrigida. Consulte o aviso da CERT/CC vinculado e a orientação do fornecedor da sua JVM, pois a ausência de versão corrigida no registro não significa que não haja correção.

A CVE-2025-11919 está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.