速報 ID: AWS-2025-020
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2025 年 10 月 7 日 午後 1 時 30 分 (PDT)

説明:

AWS Client VPN は、AWS およびオンプレミスのリソースへの安全なアクセスを可能にする、クライアントベースのマネージド VPN サービスです。AWS Client VPN クライアントソフトウェアは、Windows、macOS、Linux をサポートするエンドユーザーデバイスで実行され、エンドユーザーが AWS Client VPN サービスへのセキュアなトンネルを確立できるようにします。

AWS は、AWS Client VPN 内の問題である CVE-2025-11462 を特定しました。AWS VPN クライアントの macOS バージョンでは、ログのローテーション時におけるログ送信先ディレクトリで適切な検証チェックが行われていませんでした。このため、管理者以外のユーザーがクライアントログファイルから特権ロケーション (Crontab など) へのシンボリックリンクを作成できるようになっていました。任意の入力を使用して内部 API をトリガーすると、ログのローテーション時にこれらの入力が特権ロケーションに書き込まれ、ルート権限による実行が可能になります。この問題は Windows デバイスまたは Linux デバイスには影響しません。

影響を受けるバージョン:

AWS Client VPN クライアントバージョン 1.3.2～5.2.0

解決方法:

この問題は、AWS Client VPN クライアントバージョン 5.2.1 で解決されています。ユーザーには、最新バージョンへのアップグレードが推奨されます。

回避策:

該当なし

参考情報:

• CVE-2025-11462
   

セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。