Szafir łata trzy luki w buildzie 708 wersji 2.0, Szafir Weryfikująca bez poprawki

Szafir w buildzie 708 wersji 2.0 usuwa trzy podatności zgłoszone do CERT Polska: CVE-2026-93570, CVE-2026-93571 i CVE-2026-106036. Szafir Weryfikująca nie jest już wspierana i poprawki nie dostała. Pierwsza luka to XXE: podpisanie lub weryfikacja spreparowanego pliku XML z odwołaniem do zewnętrznego DTD pozwala atakującemu odczytać dowolne pliki z komputera ofiary. Dwie pozostałe dotyczą aktualizacji. Program akceptuje dowolny certyfikat bez sprawdzenia nazwy hosta, więc atakujący w pozycji man-in-the-middle może skierować pobieranie aktualizacji na własny serwer, a błąd path traversal w nazwie pliku pozwala mu zapisać przygotowany plik XML we wskazanym miejscu.

Kogo dotyczy

Użytkowników programu Szafir w wersjach sprzed buildu 708 wersji 2.0 oraz użytkowników programu Szafir Weryfikująca, który jest podatny na XXE (CVE-2026-93570). Podatności zgłosił Mikus Teivens z zespołu Critical Security, a CERT Polska koordynował ich ujawnienie.

Co zrobić

Zaktualizować Szafir do buildu 708 wersji 2.0, w którym naprawiono wszystkie trzy podatności. Dla programu Szafir Weryfikująca poprawki nie ma, bo nie jest już wspierany.