В предлагания в репозитория Debian Testing (бъдещия релиз Debian 13) пакет StarDict, реализиращ интерфейс за търсене в речниците, е открит проблем с конфиденциалността — в конфигурацията по подразбиране приложението автоматично изпраща копирания в клипборда маркиран текст (x11 PRIMARY selection) на външни сървъри. Достатъчно е в което и да е приложение да маркирате откъс от текст и той незабавно се изпраща без криптиране по протокола HTTP на китайските сървъри на онлайн речниците dict.youdao.com и dict.cn. Проблемът се проявява само при работа в среди, базирани на протокола X11, докато при използване на Wayland по подразбиране се прилага изолиране на клипборда.
Сопровождащият пакет StarDict в Debian отговори, че такова поведение е нормално. По подразбиране в StarDict е включен режим на автоматично търсене в речниците на маркирания текст и са активирани както локални, така и външни речници. Сървърите dict.youdao.com и dict.cn предоставят англо-китайски речници, които се свързват чрез плъгини, включени по подразбиране при инсталирането на пакета stardict-plugin, който е препоръчителна зависимост за пакета stardict-gtk. На тези, които не одобряват подобно поведение, се препоръчва да деактивират мрежовите речници или функцията за автоматично търсене при маркиране в настройките.
Потребителят, който обърна внимание на проблема, възрази, че подобно поведение не трябва да бъде активирано по подразбиране при никакви условия, тъй като то води до изтичане на информация. Потребителят може да маркира текст с конфиденциално съдържание в приложения, например пароли и лични данни. В този случай информацията не само потенциално остава в логовете на сървъри dict.youdao.com и dict.cn и е видима за техните администратори, но и става достъпна за прихващане на трафика поради използването на HTTP, а не HTTPS. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=маркиран текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=маркиран текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164
Забележително е, че през 2009 година подобно поведение в StarDict беше признато за уязвимост (CVE-2009-2260) и достъпът до мрежовите речници беше деактивиран по подразбиране. Сега тази функционалност отново е възстановена.
Източник: opennet.ru
