Polacy podpisują tym ważne dokumenty. Program może ujawnić ich pliki

CERT Polska ujawnił trzy podatności w oprogramowaniu Szafir, służącym do składania podpisów elektronicznych. Błędy pozwalały m.in. na odczytywanie plików z komputera i manipulowanie mechanizmem aktualizacji. Producent udostępnił poprawki, ale jedna z aplikacji pozostanie bez nich.

Podpis elektroniczny ma gwarantować bezpieczeństwo dokumentów i tożsamość osoby, która je zatwierdza. Trudno jednak o większą ironię niż sytuacja, w której program służący do bezpiecznego podpisywania dokumentów sam okazuje się potencjalnym zagrożeniem dla danych użytkownika.

CERT Polska poinformował o wykryciu trzech luk w oprogramowaniu Szafir, rozwijanym przez Krajową Izbę Rozliczeniową (KIR). Program jest wykorzystywany do obsługi podpisów elektronicznych, między innymi przy podpisywaniu dokumentów firmowych i urzędowych.

Błędy oznaczono identyfikatorami CVE-2026-93570, CVE-2026-93571 oraz CVE-2026-106036. Ich wykrycie zgłosił Mikus Teivens z zespołu Critical Security.

Podpisujesz dokument, a program może ujawnić twoje pliki

Pierwsza luka dotyczy przetwarzania dokumentów XML. Odpowiednio przygotowany plik może wykorzystać mechanizm zewnętrznych encji XML (XXE), aby doprowadzić do odczytania dowolnych plików z komputera użytkownika podczas podpisywania lub weryfikowania dokumentu. Jest ona zarazem najpoważniejsza, ponieważ w 10-stopniowej skali dostała ocenę 8,2.

Pozostałe dwa błędy dotyczą mechanizmu aktualizacji Szafira. Jeden umożliwia zapisanie pliku w wybranej lokalizacji, jeśli atakujący zdoła przechwycić i przekierować żądanie aktualizacji. Drugi wynika z nieprawidłowej weryfikacji certyfikatów SSL/TLS, przez co aplikacja może zaakceptować połączenie z serwerem podstawionym przez przestępcę. Ich oceny to kolejno 2,3 oraz 6,9.

W praktyce połączenie tych słabości mogłoby umożliwić manipulowanie plikami pobieranymi przez program. Wymagałoby to jednak odpowiednich warunków ataku, w szczególności możliwości ingerowania w komunikację sieciową.

Nie oznacza to, że każde podpisanie dokumentu prowadziło do kradzieży danych, ale sam fakt istnienia takich luk w narzędziu przeznaczonym do obsługi podpisów elektronicznych trudno uznać za szczególnie uspokajający.

Poprawki są, ale nie dla wszystkich

Dobra wiadomość jest taka, że KIR usunęła wszystkie trzy podatności w Szafirze 2.0, build 708. Użytkownicy wcześniejszych wydań powinni więc zaktualizować oprogramowanie do tej lub nowszej wersji.

Gorzej wygląda sytuacja osób korzystających z osobnej aplikacji Szafir Weryfikująca. Program również jest podatny na atak XXE, ale nie jest już wspierany i nie otrzymał poprawki. CERT Polska jednoznacznie wskazuje, że problem w tym produkcie pozostał nierozwiązany.

Warto przy tym podkreślić, że komunikat CERT Polska nie informuje o potwierdzonych przypadkach wykorzystania opisanych luk przez cyberprzestępców.

Cała sytuacja przypomina jednak o pewnym paradoksie cyfryzacji. Możemy podpisywać dokumenty elektronicznie, potwierdzać tożsamość certyfikatami i korzystać z zaawansowanej kryptografii, ale wystarczy źle obsłużony plik XML, żeby cała ta technologiczna elegancja zaczęła wyglądać znacznie mniej imponująco.