CVE-2025-34324 in GoSign Desktop
Resumen
por VulDB • 2026-05-12
Las versiones de GoSign Desktop 2.4.0 y anteriores utilizan un manifiesto de actualización sin firmar para distribuir actualizaciones de la aplicación. El manifiesto contiene las URL de los paquetes y los hashes SHA-256, pero no está firmado digitalmente, por lo que su autenticidad depende únicamente del canal TLS subyacente. En las versiones afectadas, la validación del certificado TLS puede desactivarse cuando se configura un proxy, lo que permite que un atacante que pueda interceptar el tráfico de red proporcione un manifiesto de actualización malicioso y el paquete correspondiente con un hash coincidente. Esto puede provocar que el cliente descargue e instale una actualización manipulada, lo que resulta en la ejecución de código arbitrario con los privilegios del usuario de GoSign Desktop en Windows y macOS, o con privilegios elevados en algunas implementaciones de Linux. Un atacante local que pueda modificar la configuración del proxy también puede abusar de este comportamiento para escalar privilegios forzando la instalación de una actualización elaborada a tal efecto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.