ID do boletim: AWS-2025-020
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data da publicação: 07/10/2025 13:30 PDT

Descrição:

O AWS Client VPN é um serviço de VPN gerenciado baseado em cliente que permite acesso seguro aos recursos on-premises e da AWS. O software-cliente do AWS Client VPN é executado em dispositivos de usuário final, com suporte para Windows, macOS e Linux, e oferece aos usuários finais a capacidade de estabelecer um túnel seguro para o Serviço AWS Client VPN.

Identificamos o CVE-2025-11462, um problema no AWS Client VPN. A versão para macOS do AWS VPN Client não tinha verificações de validação adequadas no diretório de destino de logs durante a alternância de logs. Isso permitia que um usuário não administrador criasse um link simbólico a partir de um arquivo de log do cliente para um local privilegiado (por exemplo, Crontab). O acionamento de uma API interna com entradas arbitrárias gravaria essas entradas em um local privilegiado na alternância de logs, permitindo a execução com privilégios de root. Esse problema não afeta dispositivos Windows ou Linux.

Versões afetadas: 

Cliente AWS Client VPN versões de 1.3.2 a 5.2.0

Resolução:

O problema foi resolvido no Cliente AWS Client VPN versão 5.2.1. Recomendamos que os usuários atualizem para a versão mais recente.

Soluções alternativas:

N/D

Referências:

• CVE-2025-11462
   

Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.