Kernal համայնքի անդամները հայտնաբերել են անսովոր անզգույշ վերաբերմունք անվտանգության նկատմամբ Linuxfx բաշխման մեջ, որն առաջարկում է Ubuntu-ի կառուցվածք KDE օգտագործողի միջավայրով, ոճավորված որպես Windows 11 ինտերֆեյս: Ըստ նախագծի կայքի տվյալների՝ բաշխումն օգտագործվում է ավելի քան մեկ միլիոն օգտատեր, և այս շաբաթ գրանցվել է մոտ 15 հազար ներբեռնում։ Բաշխման հավաքածուն առաջարկում է լրացուցիչ վճարովի գործառույթների ակտիվացում, որն արվում է հատուկ գրաֆիկական հավելվածում լիցենզիայի բանալին մուտքագրելու միջոցով:
Լիցենզիայի ակտիվացման հավելվածի (/usr/bin/windowsfx-register) ուսումնասիրությունը ցույց է տվել, որ այն ներառում է ներկառուցված մուտք և գաղտնաբառ արտաքին MySQL DBMS մուտք գործելու համար, որոնցում ավելացվում են նոր օգտվողի մասին տվյալները: Այս դեպքում օգտագործված հավատարմագրերը թույլ են տալիս լիարժեք մուտք ունենալ տվյալների բազա, ներառյալ «մեքենաներ» աղյուսակը, որը ցուցադրում է տեղեկատվություն բաշխման բոլոր տեղադրումների մասին, ներառյալ օգտվողի IP հասցեները: Հասանելի են նաև «fxkeys» աղյուսակի բովանդակությունը լիցենզիայի բանալիներով և բոլոր գրանցված առևտրային օգտագործողների էլ.փոստի հասցեներով: Հատկանշական է, որ, ի տարբերություն մեկ միլիոն օգտատերերի մասին հայտարարությունների, տվյալների բազայում կա ընդամենը 20 հազար գրառում։ Հավելվածը գրված է Visual Basic-ում և աշխատում է Gambas թարգմանչի միջոցով:
Առանձնահատուկ ուշադրության է արժանի բաշխման մշակողների արձագանքը: Անվտանգության խնդիրների մասին տեղեկատվություն հրապարակելուց հետո նրանք թողարկեցին թարմացում, որում իրենք չլուծեցին խնդիրը, այլ միայն փոխեցին տվյալների բազայի անունը, մուտքի և գաղտնաբառը, ինչպես նաև փոխեցին հավատարմագրերի ստացման տրամաբանությունը և փորձեցին պայքարել ծրագրի հետագծման դեմ: Բուն հավելվածում ներկառուցված հավատարմագրերի փոխարեն, Linuxfx-ի մշակողները ավելացրել են բեռնման պարամետրեր՝ արտաքին սերվերից տվյալների շտեմարանին միանալու համար՝ օգտագործելով curl utility: Հետգործարկումից հետո պաշտպանության համար իրականացվել են համակարգում գործող բոլոր «sudo», «stapbp» և «*-bpfcc» գործընթացների որոնումը և հեռացումը, ըստ երևույթին այն համոզմունքով, որ այդ կերպ նրանք կարող են խանգարել հետագծման ծրագրերի աշխատանքին: .
Source: opennet.ru