Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Szafir i koordynował proces ujawniania informacji.

Podatność CVE-2026-93570: Aplikacje Szafir i Szafir Weryfikująca są podatne na ataki typu XML External Entity (XXE) injection. Gdy użytkownik podpisuje lub weryfikuje spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego DTD, parser przetwarza encje zewnętrzne, co umożliwia atakującemu odczytanie dowolnych plików z systemu plików ofiary.

Problem został rozwiązany w oprogramowaniu Szafir w buildzie 708 wersji 2.0. Oprogramowanie Szafir Weryfikująca nie jest już wspierane i nie zostało naprawione.

Podatność CVE-2026-93571: Oprogramowanie Szafir jest podatne na ataki typu Path Traversal w nazwie przesyłanego pliku. Atakujący typu man-in-the-middle, który może przekierować żądanie aktualizacji do własnego serwera, może przygotować dowolny plik XML, który zostanie zapisany w wybranej przez niego lokalizacji.

Podatność CVE-2026-106036: Oprogramowanie Szafir akceptuje dowolny certyfikat klienta lub serwera bez przeprowadzania weryfikacji certyfikatu i nazwy hosta, co umożliwia nawiązywanie połączeń HTTPS bez uwierzytelnienia serwera. Atakujący może dostarczyć dowolny certyfikat SSL/TLS i spowodować, że aplikacja pobierze plik aktualizacji ze wskazanego przez niego serwera.

Te problemy zostały naprawione w buildzie 708 wersji 2.0

Podziękowania

Podatność zgłosił Mikus Teivens z zespołu Critical Security, za co dziękujemy.