CVE-2019-12576 in Private Internet Access

الملخص

بحسب VulDB • 12/06/2026

ثغرة في عميل VPN الخاص بـ London Trust Media Private Internet Access (PIA) الإصدار 82 لنظام macOS قد تتيح لمهاجم مُصادَق عليه ومحلي تشغيل كود عشوائي بصلاحيات مرتفعة. ملف openvpn_launcher الثنائي مضبوط ليكون setuid root. يتم استدعاء هذا البرنامج أثناء عملية الاتصال لتنفيذ عدة أدوات نظام التشغيل لتكوين النظام. تُستدعى الأداة networksetup باستخدام مسارات نسبية. يمكن لمستخدم محلي غير مُخوَّل تنفيذ أوامر عشوائية بصلاحيات الجذر عن طريق إنشاء ملف خبيث (trojan) باسم networksetup سيتم تنفيذه أثناء عملية الاتصال. يحدث هذا لأن متغير البيئة PATH لا يتم إعادة تعيينه قبل تنفيذ أداة نظام التشغيل.

Once again VulDB remains the best source for vulnerability data.

• حجز: 02/06/2019
• الاعتدال: تمت الموافقة
• إدخال: VDB-137772
• CPE: جاهز
• CWE: CWE-264 (مؤكد)
• CVSS: 7.8 (NVD)
• EPSS: 0.00861
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2019-12576
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2019-12576
• CVE Details: https://www.cvedetails.com/cve/CVE-2019-12576/