Kernal'i kogukonna liikmed tuvastasid äärmiselt hooletu suhtumise turvalisusesse Linuxfx'i distributsioonis, mis pakub Ubuntu kogumit KDE kasutajakeskkonnas, mis on stiliseeritud Windows 11 liidese järgi. Projekti veebisaidi andmetel kasutab distributsiooni üle miljoni kasutaja ning sellel nädalal on registreeritud umbes 15 000 allalaadimist. Distributsioon pakub lisatasu maksmise võimalusi, mis aktiveeritakse litsentsi võtme sisestamisega spetsiaalses graafilises rakenduses.
Litsentsi aktiveerimise rakenduse (\/usr\/bin\/windowsfx-register) uurimine näitas, et sellega on kaasas sisse ehitatud kasutajanimi ja parool välise MySQL andmebaasi juurde pääsemiseks, kuhu lisatakse uue kasutaja andmed. Kasutatavad mandaadid võimaldavad täielikku juurdepääsu andmebaasile, sealhulgas tabelile 'machines', milles kajastuvad kõik distributsiooni installatsioonid, sealhulgas IP-aadressid kasutajad. Samuti on saadaval tabeli 'fxkeys' sisu, kus on litsentsi võtmed ja registreeritud ärikasutajate e-posti aadressid. Huvi pakub, et erinevalt väidetest miljoni kasutaja kohta on andmebaasis vaid 20 000 kirjet. Rakendus on kirjutatud Visual Basic keeles ja seda käitatakse Gambas tõlgiga.
Erilist tähelepanu väärib distributsiooni arendajate reaktsioon. Pärast turvaprobleemide avalikustamist vabastasid nad uuenduse, milles nad ei kõrvaldanud probleemi endaga, vaid lihtsalt muutis andmebaasi nime, kasutajanime ja parooli ning muutsid mandaadi hankimise loogikat, üritades võidelda programmi jälgimisega. Selle asemel, et olla rakendusse sisse ehitatud mandaadid, lisasid Linuxfx'i arendajad andmebaasi ühendamise parameetrite laadimise väliselt serverilt, kasutades utiliiti curl. Kaitseks pärast käivitamist on rakendatud käivitatud protsesside 'sudo', 'stapbp' ja '*-bpfcc' otsimise ja eemaldamise protsess süsteemis, pidades ilmselt silmas, et sel viisil suudavad nad takistada jälgimisrakenduste tööd.
Allikas: opennet.ru
