Medlemmer af Kernal-fællesskabet har identificeret en usædvanlig skødesløs holdning til sikkerhed i Linuxfx-distributionen, som tilbyder en opbygning af Ubuntu med KDE-brugermiljøet, stiliseret som Windows 11-grænsefladen. Ifølge data fra projektets hjemmeside bruges distributionen af mere end en million brugere, og omkring 15 tusinde downloads er blevet registreret i denne uge. Distributionssættet tilbyder aktivering af yderligere betalte funktioner, hvilket gøres ved at indtaste en licensnøgle i en speciel grafisk applikation.
En undersøgelse af licensaktiveringsapplikationen (/usr/bin/windowsfx-register) viste, at den indeholder et indbygget login og adgangskode til adgang til en ekstern MySQL DBMS, hvori data om den nye bruger tilføjes. I dette tilfælde giver de anvendte legitimationsoplysninger dig mulighed for at få fuld adgang til databasen, inklusive tabellen "maskiner", som viser information om alle installationer af distributionen, inklusive brugernes IP-adresser. Indholdet af "fxkeys"-tabellen med licensnøgler og e-mail-adresser på alle registrerede kommercielle brugere er også tilgængeligt. Det er bemærkelsesværdigt, at der i modsætning til udsagn om en million brugere kun er 20 tusinde poster i databasen. Applikationen er skrevet i Visual Basic og kører ved hjælp af Gambas-tolken.
Distributionsudviklernes reaktion fortjener særlig opmærksomhed. Efter at have offentliggjort information om sikkerhedsproblemer, udgav de en opdatering, hvor de ikke selv løste problemet, men kun ændrede databasenavn, login og adgangskode, og også ændrede logikken for at opnå legitimationsoplysninger og forsøgte at bekæmpe programsporing. I stedet for legitimationsoplysninger indbygget i selve applikationen, tilføjede Linuxfx-udviklerne indlæsningsparametre for at oprette forbindelse til databasen fra en ekstern server ved hjælp af curl-værktøjet. Til post-lancering beskyttelse er søgning og fjernelse af alle kørende "sudo", "stapbp" og "*-bpfcc" processer i systemet blevet implementeret, tilsyneladende i den tro, at de på denne måde kan forstyrre driften af sporingsprogrammer .
Kilde: opennet.ru