Im Linuxfx-Distribution wurde ein eingebettetes Passwort für den Zugriff auf die Benutzer-Datenbank gefunden.

Die Teilnehmer der Kernal-Community haben eine außergewöhnlich nachlässige Haltung zur Sicherheit in der Linuxfx-Distribution festgestellt, die eine Ubuntu-Variante mit einer KDE-Desktopumgebung bietet, die an die Benutzeroberfläche von Windows 11 angelehnt ist. Laut den Informationen von der Projektwebsite wird die Distribution von über einer Million Benutzern verwendet, und in dieser Woche wurden etwa 15.000 Downloads registriert. Die Distribution bietet die Aktivierung zusätzlicher kostenpflichtiger Funktionen an, die durch die Eingabe eines Lizenzschlüssels in einer speziellen grafischen Anwendung erfolgen.

Untersuchungen der Lizenzaktivierungsanwendung (/usr/bin/windowsfx-register) zeigten, dass sie ein eingebettetes Login und Passwort für den Zugriff auf eine externe MySQL-Datenbank enthält, in die die Daten neuer Benutzer eingetragen werden. Die verwendeten Anmeldedaten ermöglichen den vollständigen Zugriff auf die Datenbank, einschließlich der Tabelle "machines", in der Informationen zu allen Installationen der Distribution gespeichert sind, einschließlich IP-Adressen der Benutzer. Auch der Inhalt der Tabelle "fxkeys" mit Lizenzschlüsseln und E-Mail-Adressen aller registrierten gewerblichen Benutzer ist zugänglich. Bemerkenswert ist, dass in der Datenbank mit nur 20.000 Einträgen im Gegensatz zu den Angaben über eine Million Benutzer eine viel geringere Anzahl verzeichnet ist. Die Anwendung ist in Visual Basic geschrieben und läuft unter dem Gambas-Interpreter.

Besonderes Augenmerk verdient die Reaktion der Entwickler der Distribution. Nach der Veröffentlichung der Informationen über Sicherheitsprobleme veröffentlichten sie ein Update, in dem sie nicht das Problem selbst beheben, sondern lediglich den Namen der Datenbank, das Login und das Passwort änderten. Zudem passten sie die Logik zur Beschaffung der Anmeldedaten an und versuchten, die Programmverfolgung zu unterbinden. Anstelle der im Programm eingebetteten Anmeldedaten fügten die Entwickler von Linuxfx die Möglichkeit hinzu, Verbindungsparameter von einer externen Server, unter Verwendung des Tools curl, zu laden. Zum Schutz nach dem Start wurde die Suche und das Entfernen aller laufenden Prozesse "sudo", "stapbp" und "*-bpfcc" im System implementiert, offenbar in der Annahme, dass sie dadurch die Arbeitsweise von Verfolgungsprogrammen stören könnten.

Quelle: opennet.ru