AWS Client VPN for macOS の脆弱性 CVE-2025-11462 が FIX：深刻な権限昇格の恐れ

AWS Client VPN for macOS Hit by Critical Privilege Escalation Vulnerability

2025/10/08 gbhackers — Amazon Web Services (AWS) が公開したのは、macOS 版 Client VPN ソフトウェアに存在する深刻な脆弱性について詳述する、セキュリティ情報 AWS-2025-020 である。この脆弱性 CVE-2025-11462 は、ログ・ローテーション中の VPN クライアントが、ログ出力先ディレクトリの検証に失敗する場合に発生する。

この脆弱性の悪用は権限のないユーザーでも可能であり、クライアントのログ・ファイルからシンボリック・リンクを作成し、”crontab” ファイルなどの機密性の高いシステム・ディレクトリにアクセスできる。

具体的に言うと、AWS Client VPN がログをローテーションする際に、ルート権限でリンクされたファイルにデータが書き込まれるため、ルート・ユーザーとしての任意のコード実行につながり得る。この脆弱性は macOS クライアントにのみ影響し、Windows／Linux 版には影響しない。

CVE IDAffected ProductsImpactExploit PrerequisitesCVSS 3.1 Score
CVE-2025-11462AWS Client VPN Client for macOS versions 1.3.2–5.2.0Local privilege escalation to root on macOS devicesLocal non-administrator user access, ability to create symlinks in client log directoryNot disclosed
影響とリスク

このエクスプロイトが成功すると、ローカル・ユーザーに対して、macOS デバイスにおける完全なルート権限が付与される。したがって、初期アクセス権限の低い脅威アクターであっても、この脆弱性を悪用する操作が可能になる。事例として挙げられるのは、感染したマシンの完全な制御／サンドボックス制限の回避／永続的なマルウェアをインストール／機密データへのアクセスなどである。

AWS Client VPN が広く導入されているクラウド中心の環境において、エンドポイントが侵害されると、オンプレミス・リソースへの不正アクセスや、テナント分離の失敗につながる恐れがある。

この脆弱性の潜在的な影響は大きく、組み込み API を通じて問題を容易に引き起こせるため、VPN サービスを利用する全ての macOS ユーザーにとって重大な懸念事項と評価されている。

すでに AWS は、Client VPN クライアントバージョン 5.2.1 をリリースし、この問題に対処している。管理者およびエンドユーザーにとって必要なことは、このパッチ・リリースに直ちに適用することだ。

ソフトウェアのデプロイメントを自動化している環境では、コンフィグ管理およびオーケストレーション・パイプラインに、このアップデートを遅滞なく組み込むべきだ。

現時点において回避策は存在しないため、このリスクに対する唯一の確実な保護策はアップグレードである。

セキュリティ・チームにとって必要なことは、エンドポイント監視ログで異常なローカル権限イベントを確認し、デバイスにパッチが適用されるまでは、macOS ユーザーのアクセスを一時的に制限することの検討である。

クラウド・リンク環境にある macOS エンドポイントを保護するには、AWS のアップデートを常に最新の状態に保つことが不可欠である。

この重大な脆弱性の悪用に対する重要な防御策は、継続的な監視と迅速なパッチ適用である。

この脆弱性は、macOS版の AWS Client VPN がログ・ローテーション時に出力先ディレクトリやファイル検証を適切に行わず、低権限ユーザーがログ・ファイルに対してシンボリック・リンクを作れるというものです。ローテート処理がルート権限でリンク先へ書き込む実装になっているため、リンク先を crontab や重要なシステム・ファイルに向けられると、意図せず権限昇格につながってしまうと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、AWS Client VPN で検索も、ご参照ください。