StarDict pakett Debianis saadab valitud teksti välistesse serveritesse

Debiani Testing (tulevane väljaanne Debian 13) hoidlast pakendis StarDict, mis rakendab otsimise liidest sõnaraamatutes, on leitud privaatsusprobleem — vaikimisi konfigureeritud rakendus saadab automaatselt lõikelauale paigutatud valitud tekst (x11 PRIMARY selection) välistesse serveritesse. Piisab, kui mõnes rakenduses tekstilõik esile tõsta, ja see saadetakse kohe krüpteerimata HTTP-protokolli kaudu Hiina veebisõnaraamatute serveritesse dict.youdao.com ja dict.cn. Probleem ilmneb ainult X11-protokolli põhistes keskkondades, kasutades Waylandi, rakendatakse lõikelaua eraldust.

StarDicti kaasnev pakett Debianis vastas, et selline käitumine on normaalne. Vaikimisi on StarDictis sisse lülitatud automaatse otsingu režiim valitud teksti jaoks ning aktiveeritud on nii kohalikud kui ka välised sõnaraamatud. Serverid dict.youdao.com ja dict.cn pakuvad inglise- hiina sõnaraamatud, mis on ühendatud pluginatega, mis on vaikimisi aktiveeritud stardict-plugin paketi installimisel, mis on stardict-gtk paketi soovitatav sõltuvus. Need, kellele selline käitumine ei meeldi, on soovitatud seadete alt välja lülitada võrgusõnaraamatud või automaatse otsingu funktsioon, kui tekst on esile tõstetud.

Probleemile tähelepanu pööranud kasutaja vastas, et selline käitumine ei peaks mingil juhul olema vaikimisi aktiveeritud, kuna see toob kaasa teabe leket. Kasutaja võib rakendustes esile tõsta tekste, mis sisaldavad tundlikku sisu, näiteks paroole ja isiklikke andmeid. Samuti, et teave mitte ainult ei jää potentsiaalselt logidesse serverites dict.youdao.com ja dict.cn ja on nende administraatorite nähtav, vaid see on ka saadaval liikluse pealtkuulamiseks, kuna kasutatakse HTTP-d, mitte HTTPS-i. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=valitud tekst HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatibe;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=valitud tekst HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164

Märkimisväärne on see, et 2009. aastal tunnistati sarnane käitumine StarDictis haavatavuseks (CVE-2009-2260) ja juurdepääs võrgusõnastikele lülitati vaikimisi välja. Nüüd on see funktsioon taas tagasi toodud.

Allikas: opennet.ru