CVE-2025-25567

Buffer overflow w SoftEther VPN – funkcja UniToStrForSingleChars

CVSS 9.8v3.1pub. 2025-03-12upd. 2025-07-19

SoftEther VPN 5.02.5187 zawiera podatność typu buffer overflow w pliku Internat.c, w funkcji UniToStrForSingleChars. Podatność ma przypisany wysoki wskaźnik CVSS 9.8, jednak producent kwestionuje jej krytyczność, wskazując, że dotyczy ona wyłącznie lokalnego użytkownika atakującego własne środowisko poprzez interfejs użytkownika.

▸ Pokaż oryginał (EN)

SoftEther VPN 5.02.5187 is vulnerable to Buffer Overflow in Internat.c via the UniToStrForSingleChars function. NOTE: the Supplier disputes this because the behavior only enables a local user to attack himself through the UI,

🤖 Analiza AI

Jak działa

Błąd polega na przepełnieniu bufora (buffer overflow, CWE-120) w funkcji UniToStrForSingleChars znajdującej się w pliku Internat.c. Przepełnienie może zostać wywołane przez operacje na ciągach znaków Unicode realizowane przez tę funkcję. Producent oprogramowania zastrzega, że wektorem ataku jest wyłącznie lokalny interfejs użytkownika, co ogranicza realistyczny zasięg podatności — zdalny atakujący bez dostępu do konta lokalnego nie może bezpośrednio wywołać tego błędu.

Skutki

W teorii udana eksploatacja buffer overflow może prowadzić do przejęcia kontroli nad procesem, ujawnienia danych w pamięci lub destabilizacji działania aplikacji. Producent wskazuje jednak, że w praktyce skutki ograniczają się do środowiska samego lokalnego użytkownika korzystającego z interfejsu graficznego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Warto monitorować oficjalny kanał producenta pod kątem aktualizacji. Jako dodatkowe środki ostrożności należy ograniczyć dostęp lokalny do stacji roboczych z zainstalowanym SoftEther VPN wyłącznie do zaufanych użytkowników.

Kogo dotyczy

SoftEther VPN w wersji 5.02.5187

Uwagi

Producent (SoftEther) oficjalnie kwestionuje wagę podatności, wskazując, że opisane zachowanie pozwala jedynie lokalnemu użytkownikowi na atak na własne środowisko przez interfejs UI. Rozbieżność między wysokim wynikiem CVSS (9.8 CRITICAL) a stanowiskiem producenta powinna być uwzględniona przy ocenie ryzyka w organizacji.