Членов на обществото Kernal откриха изключително безотговорно отношение към сигурността в дистрибуцията Linuxfx, която предлага сборка на Ubuntu с потребителска среда KDE, стилна като интерфейса на Windows 11. Според данни от сайта на проекта, дистрибуцията се използва от над милион потребители, а през тази седмица са регистрирани около 15 хиляди изтегляния. Дистрибуцията предлага активиране на допълнителни платени функции, което става чрез въвеждане на лицензионен ключ в специално графично приложение.
Изследването на приложението за активиране на лиценза (/usr/bin/windowsfx-register) показа, че то включва вградени логин и парола за свързване с външна MySQL база данни, в която се добавят данни за новия потребител. Въпреки това, използваните идентификационни данни позволяват пълен достъп до базата данни, включително до таблицата «machines», в която са отразени данните за всички инсталации на дистрибуцията, включително IP адреси потребители. Достъпно е също съдържанието на таблицата «fxkeys» с лицензионни ключове и имейл адреси на всички регистрирани търговски потребители. Интересно е, че в противовес на твърденията за милион потребители, в базата данни има само 20 хиляди записа. Приложението е написано на Visual Basic и се изпълнява с помощта на интерпретатора Gambas.
Отделно внимание заслужава реакцията на разработчиците на дистрибуцията. След публикуването на информация относно проблеми със сигурността, те издадоха актуализация, която не решава самия проблем, а просто променя името на базата данни, логина и паролата, както и променя логиката за получаване на идентификационни данни и се опитват да се борят с трасировката на приложението. Вместо вградените в самото приложение идентификационни данни, разработчиците на Linuxfx добавиха зареждане на параметри за свързване с базата данни от външен сървър, използвайки утилитата curl. За защита след стартиране е реализиран търсене и изтриване на всички активни процеси «sudo», «stapbp» и «*-bpfcc» в системата, явно вярвайки, че по този начин ще успеят да попречат на работата на приложенията за трасировка.
Източник: opennet.ru
