🇰🇷 한글 설명
GoSign Desktop 2.4.1 이하 버전에서 프록시 서버를 사용할 경우 TLS 인증서 검증이 비활성화되는 취약점이 발견되었습니다. 사용자가 신뢰할 수 없는 프록시를 설정할 경우, 공격자가 중간에서 통신 내용을 가로채거나 변조하여 무결성 보호를 우회할 수 있습니다.
💡 쉬운 설명
프로그램이 인터넷을 사용할 때 보안 연결을 확인하는 절차를 건너뛰는 문제가 있습니다. 만약 나쁜 의도를 가진 프록시 서버를 사용하게 되면, 해커가 주고받는 데이터를 몰래 훔쳐보거나 바꿀 수 있습니다.
🇺🇸 원문 (English)
GoSign Desktop through 2.4.1 disables TLS certificate validation when configured to use a proxy server. This can be problematic if the GoSign Desktop user selects an arbitrary proxy server without consideration of whether outbound HTTPS connections from the proxy server to Internet servers succeed even for untrusted or invalid server certificates. In this scenario (which is outside of the product's design objectives), integrity protection could be bypassed. In typical cases of a proxy server for outbound HTTPS traffic from an enterprise, those connections would not succeed. (Admittedly, the usual expectation is that a client application is configured to trust an enterprise CA and does not set SSL_VERIFY_NONE.) Also, it is of course unsafe to place ~/.gosign in the home directory of an untrusted user and then have other users execute downloaded files.
📍 영향받는 시스템
GoSign Desktop 2.4.1 및 그 이전 버전
⚔️ 공격 벡터
신뢰할 수 없는 프록시 서버를 통한 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
GoSign Desktop을 최신 버전으로 업데이트하고 신뢰할 수 있는 프록시 서버만 사용하십시오.
🔧 검증 코드
출력된 버전이 2.4.1 이하인지 확인하여 취약 여부를 판단합니다.
gosign --version 2>/dev/null || echo 'Version check not supported via CLI'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server