
Kimi Desktopのバージョン3.1.5および3.1.10ではアップデートの署名検証が行われておらず、RuntimeWireがセキュリティリスクを公表。
RuntimeWireのリバースエンジニアリングによると、Windows版Kimi Desktopのバージョン3.1.5および3.1.10は、ファイルの完全性を検証したり、Moonshot AIによる署名の有無を確認したりせずに、グループチャット機能用のkimiim-cliという独立したプログラムを自動的にダウンロードする。このプログラムはMoonshot AIのCDN経由で取得される。リリース用アカウントまたは更新経路が侵害された場合、攻撃者は正規のプログラムを悪意のあるコードに置き換えることができ、Kimi DesktopはMoonshot AIのコード署名鍵を必要とせず、通常の更新としてそれをインストールしてしまう可能性がある。RuntimeWireは、事前にこの問題をMoonshot AIへ開示したものの、公開時点では回答を受け取っていなかったと述べている。
2分前