CVE-2019-12578 in Private Internet Access
要約
〜によって VulDB • 2026年07月31日
London Trust Media Private Internet Access (PIA) VPN Client v82 for Linux の脆弱性により、認証済みローカル攻撃者が権限を昇格して任意のコードを実行できる可能性があります。openvpn_launcher.64 バイナリは setuid root で設定されています。このバイナリは /opt/pia/openvpn-64/openvpn を実行し、コマンドラインから渡されたパラメータを使用します。潜在的に危険な openvpn パラメータをプログラム的に無効化するために注意が払われていますが、--route-pre-down パラメータの使用が可能です。このパラメータは OpenVPN が終了する際に実行されるスクリプト/プログラムの任意のパスを受け付けます。これを実行するには --script-security パラメータも渡す必要があり、現在 --script-security は無効化されたパラメータリストに含まれていません。ローカルの権限のないユーザーが --route-pre-down オプションに悪意のあるスクリプト/バイナリを渡し、openvpn が停止した際に root として実行させることができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.