A Kernal közösség tagjai rendkívül hanyag biztonsági problémákat fedeztek fel a Linuxfx disztribúcióban, amely az Ubuntu egy Windows 11-es felhasználói felületre stilizált KDE környezetével készült. A projekt weboldala szerint a disztribúciót több mint egymillió felhasználó használja, és a héten körülbelül 15 ezer letöltés történt. A disztribúció további, fizetős funkciók aktiválását kínálja, amely egy licenckulcs megadásával történik egy külön grafikus alkalmazásban.
A licenckulcs aktiváló alkalmazás ( /usr/bin/windowsfx-register) vizsgálata kimutatta, hogy beépített felhasználónév és jelszó található egy külső MySQL adatbázishoz való kapcsolat létrehozására, amelybe az új felhasználó adatai kerülnek. Az alkalmazásban használt hitelesítő adatok teljes hozzáférést biztosítanak az adatbázishoz, beleértve a "machines" táblát is, amely az összes telepítésről információkat tartalmaz, beleértve IP address a felhasználókat. Elérhető a "fxkeys" táblának a tartalma is, amely a licenckulcsokat és a regisztrált kereskedelmi felhasználók e-mail címeit tartalmazza. Figyelemre méltó, hogy a bejelentett egymillió felhasználó helyett az adatbázisban csupán 20 ezer bejegyzés található. Az alkalmazás Visual Basic nyelven készült, és a Gambas értelmező segítségével fut.
Külön figyelmet érdemel a disztribúció fejlesztőinek reakciója. A biztonsági problémákról szóló információk közzététele után frissítést adtak ki, amely nem a probléma megoldását szolgálta, hanem csupán az adatbázis nevét, felhasználónevét és jelszavát változtatta meg, valamint módosította a hitelesítő adatok megszerzésének logikáját, és megpróbálta megakadályozni a programok nyomozását. A beépített hitelesítő adatok helyett a Linuxfx fejlesztői külső forrásból töltötték le az adatbázis kapcsolódási paramétereit a szerver, a curl segédprogram használatával. Az indítás után megvalósították a rendszerben futó összes "sudo", "stapbp" és "*-bpfcc" folyamat keresését és eltávolítását, nyilvánvalóan abban a hitben, hogy ezzel megakadályozzák a nyomozó programok működését.
Forrás: opennet.ru
