Ve službě Librem One, zaměřené na použití ve smartphonu , ihned po se ukázalo v zabezpečení, který zdiskreditoval projekt, prezentovaný jako bezpečná platforma pro zajištění soukromí. Zranitelnost byla nalezena ve službě Librem Chat a umožnila přístup do chatu pod jakýmkoli uživatelským jménem, bez znalosti autentizačních parametrů.
Ve použitém kódu backendu pro autorizaci přes LDAP (matrix-appservice-ldap3) pro síť Matrix byla provedena , která byla přenesena také do kódu pracovního servisu Librem One. Místo řádku „result, _ = yield self._ldap_simple_bind“ byl uveden „result = yield self._ldap_simple_bind“, což umožnilo jakémukoli uživateli bez autorizace vstoupit do chatu pod jakýmkoli identifikátorem. Chybující vývojáři projektu Matrix , že problém se projevoval pouze v master větvi „matrix-appservice-ldap3“, nikoli v vydáních, ale v repozitáři je problematický řádek ještě od roku 2016 (možná se podmínky pro exploataci problému objevily až po nějakých jiných nedávných změnách).
Zavedený soubor služeb Librem One předpokládá placené předplatné (7,99 $ měsíčně nebo 71,91 $ ročně), avšak jako základ mobilních klientů a serverových zpracovatelů byly použity existující otevřené projekty, které byly pro distribuci pod značkou Librem. Například, Librem Chat je přejmenovaný Matrix klient , Librem Social je založen na , Librem Mail byl přejmenován z , Librem Tunnel je převzat z . Serverové komponenty jsou založeny na
Postfix a Dovecot pro Librem Mail, pro Librem Chat a pro Librem Social. Jako důvod pro dodání aplikací pod jinými názvy se uvádí snaha shromáždit pod jednou rozpoznatelnou značkou různé decentralizované služby na bázi otevřených standardů (Matrix, ActivityPub, IMAP).
Zdroj: opennet.ru
