Пакетът StarDict в Debian изпраща маркиран текст на външни сървъри

В предлагания в хранилището Debian Testing (бъдещата версия Debian 13) пакет StarDict, реализиращ интерфейс за търсене в речници, е открита проблем с конфиденциалността — в конфигурацията по подразбиране приложението автоматично изпраща копирания в клипборда текст (x11 PRIMARY selection) на външни сървъри. Достатъчно е в която и да е програма да се селектира текст и той незабавно се изпраща без криптиране по HTTP протокол на китайските сървъри на онлайн речниците dict.youdao.com и dict.cn. Проблемът се проявява само при работа в среди, базирани на протокола X11, при използване на Wayland по подразбиране се прилага изолация на клипборда.

Съпътстващият пакет StarDict в Debian отговори, че подобно поведение е нормално. По подразбиране в StarDict е включен режим за автоматично търсене на селектирания текст в речниците и са активирани както локални, така и външни речници. Сървърите dict.youdao.com и dict.cn предоставят англо-китайски речници, които се свързват чрез плъгини, включени по подразбиране при инсталирането на пакета stardict-plugin, който е препоръчителна зависимост за пакета stardict-gtk. На тези, на които подобно поведение не им допада, се препоръчва в настройките да деактивират мрежовите речници или функцията за автоматично търсене при селектиране.

Потребителят, който обърна внимание на проблема, възрази, че подобно поведение при никакви обстоятелства не трябва да бъде активирано по подразбиране, тъй като води до изтичане на информация. Потребителят може да селектира в приложения текст с конфиденциално съдържание, например пароли и лични данни. При това информацията не само потенциално остава в логовете на сървъри dict.youdao.com и dict.cn и е видима за техните администратори, но също така става достъпна за прихващане на трафика поради използването на HTTP, а не HTTPS. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=избрания текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(съвместим;MSIE 5.00;Windows 98)\r\nAccept: *\/*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=избрания текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(съвместим;MSIE 5.00;Windows 98)\r\nAccept: *\/*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164

Забележително е, че през 2009 година подобно поведение в StarDict бе признато за уязвимост (CVE-2009-2260) и достъпът до мрежовите речници беше деактивиран по подразбиране. Сега тази функционалност отново е върната.

Източник: opennet.ru