Linuxfx jaotises on tuvastatud sisseehitatud parool, mis võimaldab juurdepääsu kasutajate andmebaasile.

Kernali kogukonna liikmed on tuvastanud äärmiseltü privaatsuse suhtes kergekäelise suhtumise Linuxfx jaotisesse, mis pakub Ubuntu kokku pandud KDE kasutajaliidest Windows 11 stiilis. Projekti veebisaidi andmete kohaselt kasutab jaotist üle miljoni kasutaja ning sellel nädalal on registreeritud umbes 15 000 allalaadimist. Jaotis pakub täiendavate tasuliste funktsioonide aktiveerimist, mis toimub litsentsivõtme sisestamise kaudu spetsiaalsesse graafilisse rakendusse.

Litsentsi aktiveerimise rakenduse (/usr/bin/windowsfx-register) uurimine näitas, et see sisaldab sisseehitatud kasutajanime ja parooli juurdepääsuks välisele MySQL andmebaasile, kuhu lisatakse uusi kasutajaid puudutavad andmed. Samas kasutatavad mandaadid võimaldavad täielikku juurdepääsu andmebaasile, sealhulgas tabelile «machines», mis kajastab kõiki jaotise installatsioone, sealhulgas IP-aadressid kasutajat. Saadaval on ka tabel „fxkeys” koos litsentsivõtmete ja kõigi registreeritud kommertskasutajate e-posti aadressidega. Tähelepanuväärne on see, et vaatamata väidetele miljoni kasutaja kohta, on andmebaasis vaid 20 000 kirjet. Rakendus on kirjutatud Visual Basic keeles ja töötab Gambas tõlgiga.

Erilist tähelepanu väärib jaotuse arendajate reaktsioon. Pärast julgeolekuprobleemide avaldamist väljastasid nad uuenduse, milles nad ei lahendanud probleemi, vaid muudavad andmebaasi nime, sisselogimise ja parooli ning muutsid autentimise loogikat, püüdes samal ajal võidelda programmi jälgimisega. Rakendusse sisseehitatud autentimisteenuste asemel lisasid Linuxfx arendajad andmebaasi ühendamise parameetrite laadimise väliselt, kasutades utiliiti curl. serverile, rakenduse käivitamise järel on ellu viidud kõikide süsteemis käivitatud „sudo”, „stapbp” ja „*-bpfcc” protsesside otsimise ja eemaldamise funktsioon, arvatavasti lootes, et nad suudavad sel viisil takistada jälgimisprogrammide tööd.

Allikas: opennet.ru