CVE-2025-65083
Açıklama
2.4.1 sürümü dahil GoSign Desktop, bir proxy sunucusu kullanacak şekilde yapılandırıldığında TLS sertifika doğrulamasını devre dışı bırakır. Bu durum, GoSign Desktop kullanıcısının, proxy sunucusundan İnternet sunucularına giden HTTPS bağlantılarının güvenilmeyen veya geçersiz sunucu sertifikaları için bile başarılı olup olmadığını dikkate almadan rastgele bir proxy sunucusu seçmesi durumunda sorun yaratabilir. Bu senaryoda (ürünün tasarım hedeflerinin dışında olan), bütünlük koruması atlatılabilir. Bir kurumdan çıkan HTTPS trafiği için kullanılan tipik proxy sunucusu vakalarında, bu bağlantılar başarılı olmayacaktır. (Kabul edilmelidir ki genel beklenti, istemci uygulamasının kurumsal bir CA'ya güvenecek şekilde yapılandırılması ve SSL_VERIFY_NONE ayarının yapılmamasıdır.) Ayrıca, ~/.gosign dizinini güvenilmeyen bir kullanıcının ana dizinine yerleştirmek ve ardından diğer kullanıcıların indirilen dosyaları çalıştırmasını sağlamak elbette güvenli değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Tinexta Infocert GoSign Desktop | v ≤ 2.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.