CVE-2025-34324

GoSign Desktop versiya 2.4.0 və daha erkən versiyalarda tətbiq yeniləmələrinin paylanması üçün imzalanmamış yeniləmə manifestindən istifadə olunur. Manifest paket URL-ləri və SHA-256 heşlərini ehtiva edir, lakin rəqəmsal imzalanmadığı üçün onun həqiqiliyini yalnız altda yatan TLS kanalı təmin edir. Təsirə məruz qalan versiyalarda proksi konfiqurasiya edildikdə TLS sertifikatının doğrulanması söndürülə bilər ki, bu da şəbəkə trafikini ələ keçirə bilən hücumçuya zərərli yeniləmə manifesti və uyğun heşə malik müvafiq paketi təqdim etməyə imkan verir. Bu, klientin dəyişdirilmiş yeniləməni yükləməsinə və quraşdırmasına səbəb ola bilər ki, nəticədə Windows və macOS-da GoSign Desktop istifadəçisinin imtiyazları ilə, bəzi Linux deployment-lərində isə yüksəldilmiş imtiyazlarla ixtiyari kodun icrası baş verə bilər. Proksi parametrlərini dəyişə bilən lokal hücumçu, hazırlanmış yeniləmənin quraşdırılmasını məcburi etməklə bu davranışdan imtiyazların yüksəldilməsi üçün də istifadə edə bilər.