Im in Debian Testing Repository (kommende Version Debian 13) angebotenen StarDict-Paket, das eine Schnittstelle für die Suche in Wörterbüchern bereitstellt, wurde ein Datenschutzproblem festgestellt – in der Standardkonfiguration sendet die Anwendung automatisch den in die Zwischenablage kopierten, hervorgehobenen Text (x11 PRIMARY selection) an externe Server. Es reicht aus, in einer beliebigen Anwendung einen Textabschnitt zu markieren, und dieser wird ohne Verschlüsselung über das HTTP-Protokoll an die chinesischen Server der Online-Wörterbücher dict.youdao.com und dict.cn gesendet. Das Problem tritt nur in Umgebungen auf, die auf dem X11-Protokoll basieren; bei Verwendung von Wayland wird standardmäßig eine Isolation der Zwischenablage angewendet.
Das begleitende StarDict-Paket in Debian antwortete, dass dieses Verhalten normal sei. In StarDict ist standardmäßig der automatische Suchmodus für hervorgehobenen Text aktiviert, und sowohl lokale als auch externe Wörterbücher sind aktiv. Die Server dict.youdao.com und dict.cn bieten englisch-chinesische Wörterbücher an, die über Plugins mitgeliefert werden, die standardmäßig bei der Installation des Pakets stardict-plugin aktiviert sind, welches eine empfohlene Abhängigkeit für das Paket stardict-gtk ist. Wer mit diesem Verhalten nicht einverstanden ist, sollte in den Einstellungen die netzwerkbasierten Wörterbücher oder die Funktion der automatischen Suche beim Markieren deaktivieren.
Ein auf das Problem aufmerksam gewordener Benutzer wandte ein, dass ein derartiges Verhalten unter keinen Umständen standardmäßig aktiviert sein sollte, da es zu einem Informationsleck führt. Benutzer können in Anwendungen Texte mit vertraulichen Inhalten, wie Passwörtern und persönlichen Daten, markieren. Dabei wird die Information nicht nur potenziell in Protokollen auf Servern dict.youdao.com und dict.cn gespeichert und ist für deren Administratoren sichtbar, sondern sie wird auch durch die Verwendung von HTTP statt HTTPS für den Datenverkehr abfangbar. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=hervorgehobener Text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=hervorgehobener Text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164
Bemerkenswert ist, dass dieses Verhalten in StarDict im Jahr 2009 als Sicherheitsanfälligkeit (CVE-2009-2260) anerkannt wurde und der Zugriff auf netzwerkbasierte Wörterbücher standardmäßig deaktiviert wurde. Jetzt wurde diese Funktionalität wieder eingeführt.
Quelle: opennet.ru
