CVE-2022-25165
È stato scoperto un problema in Amazon AWS VPN Client 2.0.0. Esiste una condizione di gara TOCTOU durante la validazione dei file di configurazione VPN. Ciò...
- Pubblicato
- 14 apr 2022
- Aggiornato
- 3 ago 2024
- Assegnazione CNA
- mitre
- Evidenza osservata
- 28 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 43,2%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
È stato scoperto un problema in Amazon AWS VPN Client 2.0.0. Esiste una condizione di gara TOCTOU durante la validazione dei file di configurazione VPN. Ciò consente di iniettare parametri al di fuori della lista consentita del client AWS VPN nel file di configurazione prima che il servizio AWS VPN Client (in esecuzione come SYSTEM) elabori il file. Argomenti pericolosi possono essere iniettati da un utente di basso livello, come `log`, che consente di specificare una destinazione arbitraria per la scrittura dei file di log. Ciò porta a una scrittura arbitraria di file come SYSTEM con controllo parziale sul contenuto dei file. Questa vulnerabilità può essere sfruttata per causare un'elevazione dei privilegi o un denial of service.
Fonti
- CVEsPoC
Exploit proof-of-concept per le CVE trovate dal team di Rhino Security Labs
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.