GoSign Desktop バージョン 2.4.0 およびそれ以前では、アプリケーションのアップデート配信に未署名のアップデートマニフェストが使用されています。このマニフェストにはパッケージのURLとSHA-256ハッシュが含まれていますが、デジタル署名されていないため、その正当性は基盤となるTLSチャネルのみに依存しています。影響を受けるバージョンでは、プロキシが設定されている場合にTLS証明書の検証を無効化できるため、ネットワークトラフィックを傍受できる攻撃者が悪意あるアップデートマニフェストと、それに対応するハッシュのパッケージを提供することが可能です。これにより、クライアントは改ざんされたアップデートをダウンロードし、インストールしてしまう場合があります。WindowsやmacOSではGoSign Desktopユーザーの権限で、Linuxの一部導入環境では昇格された権限で任意のコードが実行される可能性があります。また、ローカル攻撃者がプロキシ設定を変更できる場合、この挙動を悪用し、作成したアップデートの強制インストールによる権限昇格が発生する場合があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。