CVE-2022-25165

उच्चप्रकाशित

प्रकाशित: 14 अप्रैल 2022
अद्यतन: 3 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 28 अग॰ 2026

प्राथमिक सीवीएसएस

7.0/ 10उच्च

nvd · CVSS 3.1

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

0.5%

कम · अगले 30 दिन

प्रतिशत: 43.4%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

अमेज़न AWS VPN क्लाइंट 2.0.0 में एक समस्या खोजी गई। VPN कॉन्फ़िगरेशन फ़ाइलों के सत्यापन के दौरान एक TOCTOU रेस कंडीशन मौजूद है। यह AWS VPN क्लाइंट अनुमत सूची के बाहर के पैरामीटरों को कॉन्फ़िगरेशन फ़ाइल में इंजेक्ट करने की अनुमति देता है, इससे पहले कि AWS VPN क्लाइंट सेवा (SYSTEM के रूप में चल रही) फ़ाइल को प्रोसेस करे। एक निम्न-स्तरीय उपयोगकर्ता खतरनाक तर्क इंजेक्ट कर सकता है, जैसे कि `log`, जो लॉग फ़ाइलें लिखने के लिए एक मनमाना गंतव्य निर्दिष्ट करने की अनुमति देता है। यह फ़ाइल की सामग्री पर आंशिक नियंत्रण के साथ SYSTEM के रूप में एक मनमाना फ़ाइल लेखन की ओर ले जाता है। इसका दुरुपयोग विशेषाधिकार उन्नयन या सेवा से इनकार करने का कारण बनने के लिए किया जा सकता है।

स्रोत

CVEsPoC
राइनो सिक्योरिटी लैब्स की टीम द्वारा खोजे गए CVEs के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट्स

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।