I den pakke af StarDict, der tilbydes i Debian Testing (den kommende Debian 13), som implementerer et interface til at søge i ordbøger, er der identificeret et privatlivsproblem — standardkonfigurationen for applikationen sender automatisk den markerede tekst (x11 PRIMARY selection), der placeres i udklipsholderen, til eksterne servere. Det er tilstrækkeligt at markere et tekststykke i hvilken som helst applikation, og det sendes straks uden kryptering via HTTP til de kinesiske onlinetjenester dict.youdao.com og dict.cn. Problemet optræder kun i miljøer baseret på X11-protokollen, når der anvendes Wayland, anvendes der standardmæssigt isolering af udklipsholderen.
Den tilknyttede StarDict-pakke i Debian svarede, at en sådan adfærd er normal. I StarDict er automatisk søgning i ordbøger for markeret tekst som standard aktiveret, og der er både lokale og eksterne ordbøger aktiveret. Serverne dict.youdao.com og dict.cn tilbyder engelsk-kinesiske ordbøger, der kan tilsluttes via plugins, som er aktiveret som standard, når stardict-plugin-pakken installeres, hvilket anbefales som en afhængighed for stardict-gtk pakken. De, der ikke ønsker denne adfærd, anbefales at deaktivere netværksordbøgerne eller funktionen for automatisk søgning ved markering i indstillingerne.
Den bruger, der henledte opmærksomheden på problemet, indvendte, at en sådan adfærd under ingen omstændigheder burde aktiveres som standard, da det fører til lækage af information. Brugeren kan markere tekst med fortroligt indhold i applikationer, såsom adgangskoder og personlige oplysninger. Samtidig kan informationen ikke blot potentielt ende i logfilerne på servere dict.youdao.com og dict.cn og være synlig for deres administratorer, men også blive tilgængelig for trafikaflytning på grund af brugen af HTTP i stedet for HTTPS. 911565 write(16, „GET HTTP://dict.youdao.com/fsearch?q=markeret tekst HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n“, 171) = 171 911565 write(17, „GET HTTP://dict.cn/ws.php?utf8=true&q=markeret tekst HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n“, 164) = 164
Det er bemærkelsesværdigt, at en tilsvarende adfærd i StarDict i 2009 blev anerkendt som en sårbarhed (CVE-2009-2260), og adgangen til netværksordbøger blev som standard deaktiveret. Nu er denne funktionalitet blevet genindført.
Kilde: opennet.ru
