🇰🇷 한글 설명
GoSign Desktop 2.4.0 및 이전 버전은 업데이트 배포 시 디지털 서명이 없는 업데이트 매니페스트를 사용합니다. 프록시 설정 시 TLS 인증서 검증이 비활성화될 수 있는 취약점을 악용하면, 공격자가 악성 업데이트를 배포하여 Windows, macOS, Linux 환경에서 임의 코드를 실행하거나 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
프로그램이 업데이트를 받을 때 이 파일이 진짜인지 확인하는 도장이 없어서 발생하는 문제입니다. 해커가 중간에서 가짜 업데이트 파일을 보내면 컴퓨터에 악성 코드가 설치될 수 있습니다.
🇺🇸 원문 (English)
GoSign Desktop versions 2.4.0 and earlier use an unsigned update manifest for distributing application updates. The manifest contains package URLs and SHA-256 hashes but is not digitally signed, so its authenticity relies solely on the underlying TLS channel. In affected versions, TLS certificate validation can be disabled when a proxy is configured, allowing an attacker who can intercept network traffic to supply a malicious update manifest and corresponding package with a matching hash. This can cause the client to download and install a tampered update, resulting in arbitrary code execution with the privileges of the GoSign Desktop user on Windows and macOS, or with elevated privileges on some Linux deployments. A local attacker who can modify proxy settings may also abuse this behavior to escalate privileges by forcing installation of a crafted update.
📍 영향받는 시스템
GoSign Desktop 2.4.0 및 그 이전 모든 버전
⚔️ 공격 벡터
네트워크 트래픽을 가로채는 중간자 공격(MitM) 또는 프록시 설정을 조작한 공격
🛡️ 대응 방법
GoSign Desktop을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.4.0 이하인지 확인하십시오.
gosign-desktop --version 2>/dev/null || echo 'Check installed version manually'