In iVentoy wurde die Einfügung eines Root-Zertifikats beim Start von Windows festgestellt.

Im Werkzeug iVentoy, das für das Laden und Installieren von beliebigen Betriebssystemen über das Netzwerk verwendet wird, wurde verdächtige Aktivitäten festgestellt. Bei der Netzwerkladung des Windows-Betriebssystems führte das Werkzeug eine Ersetzung des binären Treibers httpdisk.sys im System durch und installierte sein selbstsigniertes Zertifikat im Stammzertifikatsspeicher des Systems, das zur digitalen Signierung des Treibers verwendet wird. 31 von 70 Antivirenpaketen, in denen die Datei httpdisk.sys überprüft wurde, gaben eine Warnung vor Malware aus.

Diese Aktivitäten wurden als potenzieller Versuch zur Einführung eines Backdoors wahrgenommen und weckten das Vertrauen in das Open-Source-Projekt Ventoy. Die Situation wurde dadurch verschärft, dass die Community im vergangenen Jahr nach dem Backdoor-Vorfall im XZ-Projekt bereits auf die Bereitstellung verdächtiger Blobs im Quellcodebaum von Ventoy hingewiesen hatte.

Die Entwickler von NixOS schlugen vor, Ventoy im nixpkgs-Repository durch den Fork fnr1r zu ersetzen (als Alternative kann auch glim in Betracht gezogen werden). Die Projekte Ventoy und iVentoy werden von demselben Autor entwickelt und haben ähnliche Zwecke. Der Unterschied besteht darin, dass Ventoy vollständig offen ist und auf das Laden von Betriebssystemen von USB-Speichermedien abzielt, während iVentoy nur teilweise offen ist und für das Laden über das Netzwerk mit PXE-Technologie gedacht ist.

Der Autor der Projekte Ventoy und iVentoy meldete sich zu Wort und erklärte, dass der Code des Treibers httpdisk.sys offen ist und der Treiber dafür gedacht ist, Disk-Images über das HTTP-Protokoll in Windows über das Netzwerk zu mounten, was in iVentoy zur Beschaffung von Windows-Installationsdaten verwendet wird. Server Die Ersetzung von Treibern und Skripten im System nach dem Laden ist ein dokumentiertes Verhalten.

Das eigene Zertifikat, mit dem dieser Treiber signiert wurde, wurde dem Speicher der Stammzertifikate hinzugefügt, um die Treiberinstallation zu ermöglichen, ohne die in Windows implementierte Überprüfung von Programmen durch digitale Signaturen zu berücksichtigen. Das Zertifikat wurde nur in einer einmaligen WinPE-Umgebung (Windows Preinstallation Environment) verwendet, die im Arbeitsspeicher erstellt wurde. In den auf der Festplatte installierten Windows-Versionen wurden keine Änderungen vorgenommen. Es wurde angekündigt, dass im nächsten Release von iVentoy die Verwendung eines eigenen Zertifikats eingestellt wird, da zur Gewährleistung des Treiberstarts das WinPE im Testmodus gestartet wird.

Bezüglich der Bereitstellung von Blobs (1, 2, 3) in Ventoy erklärte der Entwickler, dass diese Binärdateien direkt aus anderen Open-Source-Projekten stammen und Ventoy sie unverändert verwendet. Die fertigen ausführbaren Dateien werden im Prozess der Einrichtung von Startsystemen angewendet. Als Alternative wird geraten, keine fertigen Builds zu verwenden, sondern sie selbstständig für die Ventoy-Releases mit GitHub CI zu erstellen.

Quelle: opennet.ru