| タイトル | Draugiem GroupのDeskTime Time Trackingにおける複数の脆弱性 |
|---|---|
| 概要 | DeskTimeタイムトラッキングアプリのバージョン1.3.674より前のバージョンにおいて、不適切なTLS証明書検証の脆弱性があります。この脆弱性により、クライアントとDeskTimeのアップデートサーバー間のネットワーク経路に位置する攻撃者が、アップデート要求に対して悪意のある実行ファイルを返すことが可能です。これによって、攻撃者は影響を受けたクライアント上でユーザーレベルのリモートコード実行を行うことができます。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月28日0:00 |
| 登録日 | 2026年5月20日13:22 |
| 最終更新日 | 2026年5月20日13:22 |
| CVSS3.0 : 警告 | |
| スコア | 4.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N |
| Draugiem Group |
| DeskTime Time Tracking 1.3.674 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月20日] 掲載 |
2026年5月20日13:22 |
| 概要 | Due to improper TLS certificate validation in the DeskTime Time Tracking App before version 1.3.674, attackers who can position themselves in the network path between the client and the DeskTime update servers can return a malicious executable in response to an update request. This allows the attacker to achieve user-level remote code execution on the affected client. |
|---|---|
| 公表日 | 2026年4月28日18:16 |
| 登録日 | 2026年4月29日4:08 |
| 最終更新日 | 2026年4月30日5:16 |