关键信息总结 漏洞概述 GoSign Desktop 存在一个严重的安全漏洞，版本 <= 2.4.0，攻击者可以利用此漏洞执行远程任意代码。 漏洞细节 TLS 验证实绕过：GoSign Desktop 在使用某些配置时，如通过代理服务器通信时，禁用了 TLS 证书验证，使攻击者可以通过中间人攻击（Man-in-the-Middle, MitM）篡改流量而不被发现。 不安全的更新机制：GoSign Desktop 的更新机制存在缺陷，允许攻击者提供一个未签名的恶意更新包，导致客户端上恶意软件的安装，攻击者可以获得对用户计算机的完全控制（在 Linux 上可能以 root 权限）。 敏感信息泄露：攻击者可以窃取与 OAuth 2.0 相关的敏感信息，如 client_secret、JWT、token 和 refresh_token，因为这些信息没有通过验证保护。 漏洞影响 CVSS 3.1 评分：8.2（高危） 系统影响：可导致信息泄露、远程代码执行和权限提升。 漏洞利用 攻击场景展示了攻击者如何利用 TLS 验证实绕过和不安全的更新机制执行远程代码，包括一个概念验证视频和可运行的利用代码。 漏洞修复 修复版本：GoSign Desktop 2.4.1 部分修复了该漏洞，但仍存在信息泄露的问题。 受影响版本：GoSign Desktop 2.4.0 及更早版本。 严重性：CVSS 3.1 评分为 8.2，属于高危漏洞。 时间线 2025-10-03：漏洞发现 2025-10-04：初步概念验证 其他时间点涉及多次与厂商的沟通、 scramble、漏洞修复以及最终公开公告发布。 漏洞反馈及处理 该漏洞在发现后，披露过程遵循了负责任的漏洞披露原则，厂商在最终的修复公告中承认了漏洞并发布了修复版本（2.4.1），但仍存在部分未解决的问题。