ID du bulletin : AWS-2025-020
Étendue : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 07/10/2025 à 13 h 30 (heure du Pacifique)

Description :

AWS Client VPN est un service VPN géré basé sur le client qui permet un accès sécurisé à AWS et aux ressources sur site. Le logiciel client AWS Client VPN s’exécute sur les appareils des utilisateurs finaux. Il prend en charge Windows, macOS et Linux, et permet aux utilisateurs finaux d’établir un tunnel sécurisé vers le service AWS Client VPN.

Nous avons identifié le problème CVE-2025-11462 dans AWS Client VPN. La version macOS d’AWS VPN Client ne disposait pas de contrôles de validation appropriés sur le répertoire de destination des journaux lors de la rotation des journaux. Cela permettait à un utilisateur non administrateur de créer un lien symbolique depuis un fichier journal client vers un emplacement privilégié (par exemple, Crontab). Le déclenchement d’une API interne avec des entrées arbitraires pouvait ensuite écrire ces entrées dans l’emplacement privilégié lors de la rotation des journaux, permettant ainsi une exécution avec les privilèges racines (root). Ce problème n’affecte pas les appareils Windows ou Linux.

Versions concernées : 

Versions 1.3.2 à 5.2.0 d’AWS Client VPN

Résolution :

Ce problème a été résolu dans la version 5.2.1 d’AWS Client VPN. Nous recommandons aux utilisateurs de mettre à jour vers la dernière version.

Solutions de contournement :

sans objet

Références :

• CVE-2025-11462
   

Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.