공지 ID: AWS-2025-020
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시일: 2025년 10월 7일 오후 1시 30분(PDT)

설명:

AWS Client VPN은 AWS 및 온프레미스 리소스에 대한 보안 액세스를 지원하는 관리형 클라이언트 기반 VPN 서비스입니다. AWS Client VPN 클라이언트 소프트웨어는 Windows, macOS 및 Linux를 지원하는 최종 사용자 디바이스에서 실행되며, 최종 사용자가 AWS Client VPN 서비스에 대한 보안 터널을 설정할 수 있는 기능을 제공합니다.

AWS Client VPN에서 CVE-2025-11462 문제를 확인했습니다. AWS VPN Client의 macOS 버전에서는 로그 회전 중에 로그 대상 디렉터리에 대한 적절한 검증 검사가 없었습니다. 이를 통해 관리자가 아닌 사용자도 클라이언트 로그 파일에서 권한이 높은 위치(예: Crontab)로 심볼릭 링크를 생성할 수 있었습니다. 내부 API를 임의 입력값으로 트리거하면, 로그가 회전되는 시점에 해당 입력값이 권한이 높은 위치에 기록되어 루트 권한으로 실행될 수 있는 상황이 발생했습니다. 이 문제는 Windows 또는 Linux 디바이스에는 영향을 주지 않습니다.

영향을 받는 버전:

AWS Client VPN 클라이언트 버전 1.3.2~5.2.0

해결 방법:

이 문제는 AWS Client VPN 클라이언트 버전 5.2.1에서 해결되었습니다. 사용자는 최신 버전으로 업그레이드하는 것이 좋습니다.

대안:

해당 사항 없음

참고 사항:

• CVE-2025-11462
   

보안 관련 질문이나 우려 사항이 있는 경우 이메일(aws-security@amazon.com)을 통해 문의하세요.