CVE-2019-12578 in Private Internet Access
Resumen
por VulDB • 2026-07-31
Una vulnerabilidad en el cliente VPN Private Internet Access (PIA) de London Trust Media v82 para Linux podría permitir que un atacante local autenticado ejecute código arbitrario con privilegios elevados. El binario openvpn_launcher.64 está configurado como setuid root. Este binario ejecuta /opt/pia/openvpn-64/openvpn, pasando los parámetros proporcionados desde la línea de comandos. Se ha tenido cuidado para deshabilitar programáticamente los parámetros potencialmente peligrosos de OpenVPN; sin embargo, el parámetro --route-pre-down puede ser utilizado. Este parámetro acepta una ruta arbitraria a un script/programa que se ejecutará cuando OpenVPN finalice. El parámetro --script-security también debe pasarse para permitir esta acción, y --script-security no está actualmente en la lista de parámetros deshabilitados. Un usuario local sin privilegios puede pasar un script/binario malicioso a la opción --route-pre-down, que se ejecutará como root cuando openvpn sea detenido.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.