ID de boletín: AWS-2025-020
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 07/10/2025 13:30 PDT

Descripción:

AWS Client VPN es un servicio de VPN administrado basado en el cliente que permite un acceso seguro a los recursos de AWS y en las instalaciones. El software de cliente AWS Client VPN se ejecuta en dispositivos de usuario final, es compatible con Windows, macOS y Linux, y permite a los usuarios finales establecer un túnel seguro hacia el servicio AWS Client VPN.

Hemos identificado el CVE-2025-11462, un problema en AWS Client VPN. La versión para macOS de AWS Client VPN carecía de las comprobaciones de validación adecuadas en el directorio de destino del registro durante la rotación del registro. Esto permitía a un usuario no administrador crear un enlace simbólico desde un archivo de registro del cliente a una ubicación privilegiada (por ejemplo, Crontab). La activación de una API interna con entradas arbitrarias escribiría estas entradas en la ubicación privilegiada al rotar el registro, lo que permitiría la ejecución con privilegios de raíz. Este problema no afecta a los dispositivos Windows o Linux.

Versiones afectadas:

AWS Client VPN, versiones 1.3.2 a 5.2.0

Resolución:

Este problema se solucionó en la versión 5.2.1 de AWS Client VPN. Recomendamos a los usuarios que actualicen a la versión más reciente.

Soluciones alternativas:

N/D

Referencias:

• CVE-2025-11462
   

Si tiene alguna pregunta o duda sobre seguridad, envíe un correo electrónico a aws-security@amazon.com.