🥇लिनक्सएफएक्स वितरण में उपयोगकर्ता डेटाबेस तक पहुंचने के लिए एक हार्ड-वायर्ड पासवर्ड खोजा गया था प्रोहोस्टर

कर्नेल समुदाय के सदस्यों ने लिनक्सएफएक्स वितरण में सुरक्षा के प्रति एक असामान्य रूप से लापरवाह रवैये की पहचान की है, जो केडीई उपयोगकर्ता वातावरण के साथ उबंटू का निर्माण प्रदान करता है, जिसे विंडोज 11 इंटरफ़ेस के रूप में शैलीबद्ध किया गया है। परियोजना वेबसाइट के आंकड़ों के अनुसार, वितरण का उपयोग किया जाता है इस सप्ताह दस लाख से अधिक उपयोगकर्ता और लगभग 15 हजार डाउनलोड दर्ज किए गए हैं। वितरण किट अतिरिक्त भुगतान सुविधाओं के सक्रियण की पेशकश करती है, जो एक विशेष ग्राफिकल एप्लिकेशन में लाइसेंस कुंजी दर्ज करके किया जाता है।

लाइसेंस सक्रियण एप्लिकेशन (/usr/bin/windowsfx-register) के एक अध्ययन से पता चला है कि इसमें बाहरी MySQL DBMS तक पहुंचने के लिए एक अंतर्निहित लॉगिन और पासवर्ड शामिल है, जिसमें नए उपयोगकर्ता के बारे में डेटा जोड़ा जाता है। इस मामले में, उपयोग किए गए क्रेडेंशियल आपको "मशीन" तालिका सहित डेटाबेस तक पूर्ण पहुंच प्राप्त करने की अनुमति देते हैं, जो उपयोगकर्ता आईपी पते सहित वितरण की सभी स्थापनाओं के बारे में जानकारी प्रदर्शित करता है। सभी पंजीकृत वाणिज्यिक उपयोगकर्ताओं की लाइसेंस कुंजी और ईमेल पते के साथ "fxkeys" तालिका की सामग्री भी उपलब्ध है। उल्लेखनीय है कि, दस लाख उपयोगकर्ताओं के बयानों के विपरीत, डेटाबेस में केवल 20 हजार रिकॉर्ड हैं। एप्लिकेशन विज़ुअल बेसिक में लिखा गया है और गैम्बस दुभाषिया का उपयोग करके चलता है।

वितरण डेवलपर्स की प्रतिक्रिया विशेष ध्यान देने योग्य है। सुरक्षा समस्याओं के बारे में जानकारी प्रकाशित करने के बाद, उन्होंने एक अपडेट जारी किया जिसमें उन्होंने समस्या को स्वयं ठीक नहीं किया, बल्कि केवल डेटाबेस का नाम, लॉगिन और पासवर्ड बदल दिया, और क्रेडेंशियल प्राप्त करने के तर्क को भी बदल दिया और प्रोग्राम ट्रेसिंग से निपटने का प्रयास किया। एप्लिकेशन में निर्मित क्रेडेंशियल्स के बजाय, Linuxfx डेवलपर्स ने कर्ल उपयोगिता का उपयोग करके बाहरी सर्वर से डेटाबेस से कनेक्ट करने के लिए लोडिंग पैरामीटर जोड़े। लॉन्च के बाद की सुरक्षा के लिए, सिस्टम में चल रही सभी "sudo", "stapbp" और "*-bpfcc" प्रक्रियाओं को खोजना और हटाना लागू किया गया है, जाहिर तौर पर इस विश्वास के साथ कि इस तरह वे ट्रेसिंग प्रोग्राम के संचालन में हस्तक्षेप कर सकते हैं .

स्रोत: opennet.ru

Linuxfx वितरण में उपयोगकर्ता डेटाबेस तक पहुँचने के लिए एक हार्डकोडेड पासवर्ड खोजा गया था

एक टिप्पणी जोड़ें उत्तर रद्द