В дистрибуцията на Linuxfx беше разкрита кабелна парола за достъп до потребителската база

Членовете на Kernal общността са идентифицирали необичайно небрежно отношение към сигурността в дистрибуцията Linuxfx, която предлага компилация на Ubuntu с потребителска среда KDE, стилизирана като интерфейса на Windows 11. Според данни от уебсайта на проекта дистрибуцията се използва от повече от милион потребители и около 15 хиляди изтегляния са регистрирани тази седмица. Комплектът за разпространение предлага активиране на допълнителни платени функции, което става чрез въвеждане на лицензен ключ в специално графично приложение.

Проучване на приложението за активиране на лиценз (/usr/bin/windowsfx-register) показа, че то включва вградени потребителско име и парола за достъп до външна MySQL СУБД, в която се добавят данни за новия потребител. В този случай използваните идентификационни данни ви позволяват да получите пълен достъп до базата данни, включително таблицата „машини“, която показва информация за всички инсталации на дистрибуцията, включително потребителски IP адреси. Съдържанието на таблицата "fxkeys" с лицензни ключове и имейл адреси на всички регистрирани търговски потребители също е достъпно. Трябва да се отбележи, че за разлика от твърденията за милион потребители, в базата данни има само 20 хиляди записа. Приложението е написано на Visual Basic и работи с помощта на интерпретатора Gambas.

Реакцията на разработчиците на дистрибуцията заслужава специално внимание. След като публикуваха информация за проблеми със сигурността, те пуснаха актуализация, в която не коригираха самия проблем, а само промениха името на базата данни, данните за вход и паролата, както и промениха логиката за получаване на идентификационни данни и се опитаха да се борят с проследяването на програмата. Вместо идентификационни данни, вградени в самото приложение, разработчиците на Linuxfx добавиха параметри за зареждане за свързване към базата данни от външен сървър с помощта на помощната програма curl. За защита след стартиране е въведено търсене и премахване на всички работещи „sudo“, „stapbp“ и „*-bpfcc“ процеси в системата, очевидно с убеждението, че по този начин те могат да се намесват в работата на проследяващите програми .

Източник: opennet.ru