CVE-2025-25565

Buffer Overflow w SoftEther VPN – funkcje PtMakeCert i PtMakeCert2048

CVSS 9.8v3.1pub. 2025-03-12upd. 2025-07-19

SoftEther VPN 5.02.5187 zawiera podatność typu buffer overflow w pliku Command.c, w funkcjach PtMakeCert oraz PtMakeCert2048. Producent kwestionuje klasyfikację jako podatność bezpieczeństwa, wskazując że błąd pozwala wyłącznie użytkownikowi na zaszkodzenie samemu sobie poprzez wpisanie bardzo długiego ciągu znaków w wierszu poleceń.

▸ Pokaż oryginał (EN)

SoftEther VPN 5.02.5187 is vulnerable to Buffer Overflow in the Command.c file via the PtMakeCert and PtMakeCert2048 functions. NOTE: the Supplier disputes this because the behavior only allows a user to attack himself by typing a long string on a command line.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji długości danych wejściowych (CWE-120 – klasyczny buffer overflow bez sprawdzania granic) w funkcjach PtMakeCert i PtMakeCert2048 w pliku Command.c. Przekazanie zbyt długiego ciągu znaków jako argumentu powoduje przepełnienie bufora w pamięci. Według producenta scenariusz ataku ogranicza się do lokalnego wiersza poleceń obsługiwanego przez samego użytkownika, co znacząco ogranicza realny wektor exploitacji.

Skutki

W przypadku skutecznego wykorzystania podatności atakujący mógłby potencjalnie uzyskać pełną kontrolę nad poufnością, integralnością i dostępnością systemu (ocena CVSS: C:H/I:H/A:H). Producent zastrzega jednak, że w praktyce użytkownik może zaszkodzić wyłącznie własnej sesji poprzez celowe wprowadzenie złośliwego wejścia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na kwestionowanie podatności przez producenta zaleca się śledzenie oficjalnych komunikatów SoftEther VPN oraz stosowanie zasady najmniejszych uprawnień przy dostępie do interfejsu wiersza poleceń VPN.

Kogo dotyczy

SoftEther VPN w wersji 5.02.5187

Uwagi

Producent (Supplier) oficjalnie kwestionuje klasyfikację tej podatności jako rzeczywistego zagrożenia bezpieczeństwa, argumentując że błąd pozwala użytkownikowi jedynie zaszkodzić samemu sobie poprzez celowe wpisanie długiego ciągu znaków w wierszu poleceń. Pomimo oceny CVSS 9.8 (CRITICAL) realna szkodliwość może być znacznie niższa niż wynikałoby z samej metryki.