PT-2024-3588 · Openvpn · Openvpn Connect
Mykola Grymalyuk
·
Publicado
2024-01-18
·
Atualizado
2025-04-02
·
CVE-2023-7245
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
OpenVPN Connect versões 3.0 a 3.4.3 (Windows)
OpenVPN Connect versões 3.0 a 3.4.7 (macOS)
Descrição
O problema está relacionado à estrutura nodejs no OpenVPN Connect, que não foi configurada corretamente. Esse problema de configuração permite que um usuário local execute código arbitrário dentro do contexto do processo nodejs por meio da variável de ambiente
ELECTRON RUN AS NODE. A vulnerabilidade também é descrita como relacionada à falha em neutralizar instruções em código executado dinamicamente, o que pode permitir que um invasor execute código arbitrário.Recomendações
Para as versões 3.0 a 3.4.3 do OpenVPN Connect (Windows), atualize para uma versão posterior à 3.4.3.
Para as versões 3.0 a 3.4.7 do OpenVPN Connect (macOS), atualize para uma versão posterior à 3.4.7.
Como solução temporária, considere restringir o acesso à variável de ambiente
ELECTRON RUN AS NODE para minimizar o risco de exploração.Correção
Eval Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Openvpn Connect