Vulnérabilité critique dans le service Librem One, révélée le jour de son lancement

Dans le service Librem One, conçu pour être utilisé sur un smartphone Librem 5, immédiatement après le lancement une grave problème de sécurité , qui discrédite le projet présenté comme une plateforme sécurisée pour garantir la confidentialité. Une vulnérabilité a été trouvée dans le service Librem Chat et permettait d'accéder au chat en tant que n'importe quel utilisateur, sans connaître les paramètres d'authentification.

Dans le code backend utilisé pour l'autorisation via LDAP (matrix-appservice-ldap3) pour le réseau Matrix, une erreur a été commise erreur, qui a été transférée dans le code du service opérationnel Librem One. Au lieu de la ligne «result, _ = yield self._ldap_simple_bind», il était indiqué «result = yield self._ldap_simple_bind», ce qui permettait à n'importe quel utilisateur non autorisé de se connecter au chat avec n'importe quel identifiant. Les développeurs du projet Matrix qui ont commis l'erreur affirment, que le problème ne se manifestait que dans la branche master de «matrix-appservice-ldap3», et non dans les versions, mais dans le dépôt, la ligne problématique est présent existe depuis 2016 (il est possible que les conditions d'exploitation du problème n'aient surgi qu'à la suite de récents changements).

Le package de services Librem One lancé nécessite un abonnement payant (7,99 $ par mois ou 71,91 $ par an), mais les clients mobiles et les gestionnaires de serveurs se basent sur des projets open source existants qui ont été renommés pour être distribués sous la marque Librem. Par exemple, Librem Chat est un client Matrix renommé Riot, Librem Social est basé sur Tusky, Librem Mail a été renommé de K-9, Librem Tunnel est dérivé de Ics-openvpn. Les composants serveur sont basés sur
Postfix et Dovecot pour Librem Mail, Matrix pour Librem Chat et Mastodon pour Librem Social. La raison avancée pour fournir des applications sous d'autres noms est de vouloir rassembler sous une marque reconnue divers services décentralisés basés sur des standards ouverts (Matrix, ActivityPub, IMAP).

Source : opennet.ru