CERT Polska opisał podatność w bibliotece KAMSOFT ZSIRep CLIENT, która pozwala podszyć się pod serwer
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska ujawnił podatność CVE-2026-113618 w bibliotece KAMSOFT ZSIRep CLIENT: biblioteka akceptuje dowolny certyfikat serwera. Poprawki wydano w wersji biblioteki i w pięciu produktach KAMSOFT.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 6 listopada 2026 r. informację o podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-113618 w bibliotece KAMSOFT ZSIRep CLIENT. Podatność jest typu Improper Certificate Validation (CWE-295). Zgłoszenie trafiło do CERT Polska, który uczestniczył w koordynacji jej ujawnienia. Podziękowania za zgłoszenie CERT Polska kieruje do Kajetana Pawelca.
Biblioteka kliencka ZSIRep (ZSIREP.CLIENT.DLL) nieprawidłowo weryfikuje certyfikat serwera. Rejestruje wywołanie zwrotne .NET obejmujące cały proces, które akceptuje dowolny certyfikat dla połączeń HTTPS bez weryfikacji. Osoba zdolna wykonać atak man-in-the-middleAtak man-in-the-middle Atak, w którym napastnik podszywa się pod serwer i może przechwycić lub zmodyfikować przesyłane dane, na przykład dane uwierzytelniania i dokumenty. może podszyć się pod serwer ZSIRep oraz przechwycić lub zmodyfikować dane uwierzytelniania i dokumenty. Wywołanie zwrotne pozostaje aktywne po zamknięciu klienta, więc wpływa na bezpieczeństwo pozostałych połączeń HTTPS w tej samej aplikacji.
CERT Polska podaje, że problem został rozwiązany w wersji 2.12.3.1, a w polu podatnych wersji wpisuje „Wszystkie do 2.12.3.1”. Te dwa zapisy nie są ze sobą w pełni spójne, dlatego numer wersji z poprawką potwierdź u dostawcy. Biblioteka jest używana w produktach KS-SOMED (poprawione w wersji 2026.03.0.01), KS-PPS (2026.03.1.0), KS-MEDIS (2026.03.0.0), KS-SOLAB (2026.3.1.0) oraz KS-ASW (2026.3.0.1).
Jeśli Twój podmiot korzysta z któregoś z tych produktów, sprawdź zainstalowaną wersję i porównaj ją z wersją poprawioną. Skoro wywołanie zwrotne obejmuje cały proces, ryzyko dotyczy także innych połączeń HTTPS w aplikacji, która ładuje tę bibliotekę.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Atak man-in-the-middle
- Atak, w którym napastnik podszywa się pod serwer i może przechwycić lub zmodyfikować przesyłane dane, na przykład dane uwierzytelniania i dokumenty.