Kernal-samfundets medlemmer har afsløret en usædvanlig uansvarlig tilgang til sikkerhed i Linuxfx-distributionen, som tilbyder en version af Ubuntu med et KDE-brugermiljø, der er styliseret som Windows 11. Ifølge oplysninger fra projektets hjemmeside anvender mere end en million brugere distributionen, og i denne uge er der registreret omkring 15.000 downloads. Distributionen tilbyder aktivering af yderligere betalte funktioner, som kan foretages ved at indtaste en licensnøgle i en særlig grafisk applikation.
En undersøgelse af applikationen til aktivering af licensen (/usr/bin/windowsfx-register) har vist, at den indeholder indbyggede login- og adgangskoder til at få adgang til en ekstern MySQL-database, hvor oplysninger om nye brugere tilføjes. De anvendte legitimationsoplysninger giver fuld adgang til databasen, herunder tabellen "machines", som indeholder oplysninger om alle installationer af distributionen, herunder IP-adresser brugerne. Indholdet af tabellen "fxkeys" med licensnøgler og e-mailadresser på alle registrerede kommercielle brugere er også tilgængeligt. Bemærkelsesværdigt er det, at der i databasen kun er 20.000 poster, i modsætning til udsagnene om en million brugere. Applikationen er skrevet i Visual Basic og køres ved hjælp af Gambas-tolk.
Udviklernes reaktion på sikkerhedsproblemerne fortjener særlig opmærksomhed. Efter offentliggørelsen af oplysninger om sikkerhedsproblemerne udgav de en opdatering, der ikke løste selve problemet, men blot ændrede navnene på databasen, login og adgangskode, og ændrede logikken for adgangsoplysningerne samt forsøgte at bekæmpe sporingsprogrammer. I stedet for at have indbyggede legitimationsoplysninger i selve applikationen har Linuxfx-udviklerne tilføjet mulighed for at indlæse forbindelsesparametre til databasen udefra server, ved at bruge curl-værktøjet. For at beskytte sig selv efter opstart har de implementeret en søgning og sletning af alle kørende processer "sudo", "stapbp" og "*-bpfcc" i systemet, sandsynligvis i den tro, at de på den måde kunne forhindre sporingsprogrammer i at fungere.
Kilde: opennet.ru
