CVE-2025-34324 in GoSign Desktop
要約
〜によって VulDB • 2026年06月12日
GoSign Desktop のバージョン 2.4.0 およびそれ以前のバージョンでは、アプリケーションの更新を配布するために署名されていない更新マニフェストが使用されています。このマニフェストにはパッケージ URL と SHA-256 ハッシュが含まれていますが、デジタル署名がないため、その真正性は基盤となる TLS チャネルにのみ依存します。影響を受けるバージョンでは、プロキシが構成されている場合に TLS 証明書検証を無効化できるため、ネットワークトラフィックの傍受が可能攻撃者は、一致するハッシュを持つ悪意のある更新マニフェストおよび対応するパッケージを提供できます。これにより、クライアントは改ざんされた更新プログラムをダウンロードしてインストールし、Windows および macOS では GoSign Desktop ユーザーの特権で、一部の Linux デプロイメントでは昇格した特権で任意のコード実行を引き起こす可能性があります。プロキシ設定を変更できるローカル攻撃者は、この動作を利用して、作成された更新プログラムのインストールを強制することで特権をエスカレートさせることもできます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.