United States Computer Emergency Readiness Team (US-CERT)は2月25日(米国時間)、「PerFact OpenVPN-Client｜CISA」において、PerFact Innovationが提供するVPN製品「OpenVPN-Client」に脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって外部からバックエンドのサーバのシステム構成や設定がコントロール可能になり、その結果として権限昇格や管理者権限でのリモートコード実行が行われる危険性があるという。

該当する脆弱性に関する情報は次のページにまとめられている。

  • CWE - CWE-15: External Control of System or Configuration Setting (4.3)

    CWE - CWE-15: External Control of System or Configuration Setting (4.3)

この脆弱性は、ローカルの端末上で実行されている任意のアプリケーションからバックエンドのサーバに対してconfigコマンドを送信し、任意の構成で新しいVPNインスタンスを作成できるというもの。この仕組みを悪用すると、リモートから細工したWebページを用いて権限昇格やシステムユーザーの権限でのコード実行を行える危険性があるとのことだ。

影響を受けるとされるプロダクトおよびバージョンは次のとおり。

  • OpenVPN-Client バージョン1.4.1.0およびそれ以前

開発元より対策を実施した「OpenVPN-Client バージョン1.6.0」がリリースされている。上記セキュリティアドバイザリをチェックし、必要に応じてアップデートを適用することが推奨される