Nel pacchetto StarDict offerto nel repository Debian Testing (futura release Debian 13), che implementa un'interfaccia per la ricerca nei dizionari, è stata riscontrata una problematica di privacy: nella configurazione predefinita, l'applicazione invia automaticamente il testo selezionato (x11 PRIMARY selection) a server esterni. È sufficiente selezionare un estratto di testo in qualsiasi applicazione e questo viene inviato immediatamente, senza crittografia, attraverso il protocollo HTTP ai server cinesi dei dizionari online dict.youdao.com e dict.cn. Il problema si manifesta solo negli ambienti basati sul protocollo X11; utilizzando Wayland, per impostazione predefinita viene applicata l'isolamento degli appunti.
Il pacchetto di supporto StarDict in Debian ha risposto che questo comportamento è considerato normale. Per impostazione predefinita, in StarDict è attivata la modalità di ricerca automatica nei dizionari per il testo selezionato e sono attivati dizionari sia locali che esterni. I server dict.youdao.com e dict.cn forniscono dizionari inglese-cinese, collegabili tramite plugin, attivati di default durante l'installazione del pacchetto stardict-plugin, che è una dipendenza raccomandata per il pacchetto stardict-gtk. Gli utenti che non gradiscono questo comportamento sono consigliati di disattivare i dizionari di rete o la funzione di ricerca automatica durante la selezione nelle impostazioni.
Un utente che ha notato il problema ha obiettato che questo comportamento non dovrebbe mai attivarsi di default, poiché porta a una fuga di informazioni. L'utente può selezionare testo contenente informazioni riservate, come password e dati personali. In questo caso, le informazioni non solo possono rimanere potenzialmente nei log su server dict.youdao.com e dict.cn sono visibili ai loro amministratori e diventano anche suscettibili di intercettazione del traffico a causa dell'uso di HTTP, anziché HTTPS. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=selezionato testo HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatibile;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=selezionato testo HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatibile;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164
È interessante notare che nel 2009 un comportamento analogo in StarDict è stato riconosciuto come una vulnerabilità (CVE-2009-2260) e l'accesso ai dizionari di rete è stato disabilitato per impostazione predefinita. Ora questa funzionalità è stata nuovamente ripristinata.
Fonte: opennet.ru
