AWS Client VPN for Windows の脆弱性 CVE-2025-8069 が FIX：root 権限昇格の恐れ

AWS Client VPN for Windows Vulnerability Could Allow Privilege Escalation

2025/07/24 gbhackers — Amazon Web Services (AWS) が公表したのは、Client VPN for Windows VPN ソフトウェアに存在する深刻なセキュリティ脆弱性に関する情報である。この脆弱性を悪用する低権限のユーザーが、インストール・プロセス中に、root レベルへと権限を昇格する可能性が生じる。この脆弱性 CVE-2025-8069 が影響を及ぼす範囲は、AWS Client VPN クライアントの複数バージョンとなる。すでに AWS は、最新版のソフトウェア・アップデートにより、この問題を修正している。

脆弱性の詳細
CVE IDCVE-2025-8069
Affected ProductAWS Client VPN Windows Client
Vulnerability TypeLocal Privilege Escalation
SeverityImportant
Publication DateJuly 23, 2025, 8:30 AM PDT
Affected Versions4.1.0, 5.0.0, 5.0.1, 5.0.2, 5.1.0, 5.2.0, 5.2.1
Fixed Version5.2.2

この脆弱性の原因は、Windows デバイス上で AWS Client VPN をインストールする際に発生する、デザイン上の欠陥にある。そのインストール・プロセスにおいては、”C:\usr\local\windows-x86_64-openssl-localbuild\ssl” 内の特定ディレクトリ・パスが参照され、OpenSSL のコンフィグ・ファイルが取得される仕様となっている。

この仕様上の欠陥を悪用する攻撃者は、OpenSSL コンフィグ・ファイルの対象ディレクトリへの、任意のコードを配置する機会を得る。その後に管理者が、VPN クライアントのインストールを実行する際に、その悪意のコードがルート権限で実行され、システムの管理者レベル・アクセス権を、攻撃者は取得することになる。

なお、AWS が指摘するのは、この脆弱性が影響を及ぼすのは、Windows 版 Client VPN ソフトウェアのみであり、Linux／macOS 版クライアントには影響を与えないことだ。

AWS Client VPN は、クライアント・ベースのマネージド VPN サービスであり、暗号化されたトンネルを介して、AWS クラウド・リソース／オンプレミス・インフラへの安全なアクセスを提供する。

すでに Amazon は、バージョン 5.2.2 をリリースし、この脆弱性に対処している。さらに AWS が警告するのは、バージョン 5.2.2 未満のソフトウェアを、Windows システム上にインストールしてはならないことだ。

影響を受けるバージョンにおいて最優先事項となるのは、パッチ適用済みの最新バージョンへと更新し、権限昇格の攻撃を阻止することだ。現時点において、AWS は、この脆弱性に対する回避策を提供していないため、ソフトウェア・アップデートが、唯一の有効な対処の手段となる。

この脆弱性は、Zero Day Initiative との協調により発見され、責任ある情報開示の枠組みの中で公開された。この連携により AWS は、詳細情報が公にされる前に、パッチを開発／展開し、潜在的な悪用リスクを最小化できた。

Windows 環境で AWS Client VPN を利用している組織は、ソフトウェアの現行バージョンを直ちに評価し、アップデートの実施を通じてセキュリティ体制を維持し、不正な権限昇格攻撃を防止する必要がある。

AWS Client VPN for Windows VPN クライアントで発見された今回の脆弱性は、インストール・プロセスにおける設計ミスを悪用する攻撃者が、容易に管理者権限を奪えてしまうという、とても深刻なものです。ご利用のチームは、十分に ご注意ください。よろしければ、AWS で検索も、ご参照ください。