I værktøjet iVentoy, der anvendes til at downloade og installere forskellige operativsystemer via netværk, er der blevet opdaget mistænkelig aktivitet. Ved netværksboot af Windows operativsystemet erstattede værktøjet systemet med den binære driver httpdisk.sys og installerede sin selvsignerede certifikat i systemets opbevaring af rodcertifikater, hvilket bruges til at bekræfte driverens digitale signatur. 31 ud af 70 antiviruspakker, der blev brugt til at tjekke filen httpdisk.sys, udsendte advarsler om tilstedeværelsen af malware.
Denne aktivitet blev opfattet som et potentielt forsøg på at etablere en backdoor og rejste spørgsmål om tillid til det åbne projekt Ventoy. Situationen blev forværret af, at fællesskabet allerede havde været opmærksom på leveringen af mistænkelige blobs i koden til Ventoy efter backdoor-incidenten i projektet XZ sidste år.
NixOS-udviklerne har foreslået at erstatte Ventoy i nixpkgs-repositoriet med fork'en fnr1r (et alternativ kunne også være glim). Projekterne Ventoy og iVentoy udvikles af den samme forfatter og har lignende formål. Forskellene er, at Ventoy er helt åbent og primært rettet mod bootning af operativsystemer fra USB-drev, mens iVentoy kun er delvist åbent og er beregnet til netværksboot ved hjælp af PXE-teknologi.
Forfatteren af projekterne Ventoy og iVentoy har deltaget i diskussionen om problemet og forklarede, at koden for driveren httpdisk.sys er åben, og at driveren er beregnet til at montere diskbilleder fra Windows via netværket over HTTP-protokollen, hvilket bruges i iVentoy til at hente installationsdata fra server Windows. Indsættelse af drivere og scripts i systemet efter bootning er et dokumenteret adfærd.
Det eget certifikat, der blev brugt til at underskrive denne driver, er blevet tilføjet til rodcertifikatslageret for at muliggøre driverens indlæsning omgåelse af den digitale signaturcertificering, der anvendes i Windows. Certifikatet blev kun indsæt i engangs-miljøet WinPE (Windows Preinstallation Environment), der oprettes i hukommelsen. Der blev ikke foretaget ændringer i de stationære installationer af Windows, der lagres på disk. Det er blevet oplyst, at i den næste version af iVentoy vil indsættelse af eget certifikat blive afskaffet, da opstart af driveren vil ske i testtilstand med WinPE.
Vedrørende levering af blobs (1, 2, 3) i Ventoy har udvikleren udtalt, at disse binære filer er hentet direkte fra andre åbne projekter, og Ventoy bruger dem uden ændringer. De færdige eksekverbare filer anvendes i konfigurationen af de opstartbare systemer. Som et alternativ foreslås det at undlade at tage de færdige builds og i stedet bygge dem til Ventoy-udgivelser selv ved hjælp af GitHub CI.
Kilde: opennet.ru
