V balíčku StarDict, který je nabízen v repozitáři Debian Testing (budoucí verze Debian 13), byla odhalena problém s ochranou soukromí — ve výchozím nastavení aplikace automaticky odesílá vybraný text (x11 PRIMARY selection), který se vloží do schránky, na externí servery bez šifrování protokolem HTTP na čínské servery online slovníků dict.youdao.com a dict.cn. Problém se projevuje pouze při práci v prostředí založeném na protokolu X11, při používání Wayland je schránka izolována.
Doprovodný balíček StarDict v Debianu uvedl, že takové chování je standardní. Ve výchozím nastavení je v StarDict aktivováno automatické vyhledávání ve slovnících vybraného textu a jsou aktivovány jak místní, tak externí slovníky. Servery dict.youdao.com a dict.cn poskytují anglo-čínské slovníky, které se připojují prostřednictvím pluginů, jež jsou standardně aktivovány při instalaci balíčku stardict-plugin, který je doporučenou závislostí pro balíček stardict-gtk. Těm, kterým se toto chování nelíbí, se doporučuje v nastavení vypnout síťové slovníky nebo funkci automatického vyhledávání při výběru.
Uživatel, který upozornil na problém, argumentoval, že takové chování by nemělo být ve výchozím nastavení aktivováno, protože vede k úniku informací. Uživatel může v aplikacích vybírat text s důvěrným obsahem, jako jsou hesla a osobní údaje. Přitom informace nejenže může zůstat v logech na serverech dict.youdao.com a dict.cn a je viditelná jejich správcům, ale také se může stát dostupnou pro odposlech provozu kvůli používání HTTP namísto HTTPS. 911565 write(16, "GET HTTP://dict.youdao.com/fsearch?q=vybraný text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: *\/*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n", 171) = 171 911565 write(17, "GET HTTP://dict.cn/ws.php?utf8=true&q=vybraný text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: *\/*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n", 164) = 164
Je pozoruhodné, že v roce 2009 bylo podobné chování v StarDict uznáno jako zranitelnost (CVE-2009-2260) a přístup k síťovým slovníkům byl ve výchozím nastavení deaktivován. Nyní se tato funkčnost opět vrací.
Zdroj: opennet.ru
