I membri della comunità Kernal hanno evidenziato un atteggiamento estremamente disinvolto nei confronti della sicurezza nella distribuzione Linuxfx, che offre una versione di Ubuntu con ambiente desktop KDE, stilizzato per somigliare all'interfaccia di Windows 11. Secondo le informazioni dal sito del progetto, la distribuzione è utilizzata da oltre un milione di utenti, e sono state registrate circa 15.000 download questa settimana. La distribuzione offre l'attivazione di funzionalità aggiuntive a pagamento, che avviene tramite l'inserimento di un codice di licenza in un'applicazione grafica apposita.
Uno studio dell'applicazione per l'attivazione della licenza (\/usr\/bin\/windowsfx-register) ha rivelato che essa include credenziali di accesso incorporate per contattare un database MySQL esterno, nel quale vengono aggiunti i dati di un nuovo utente. Le credenziali utilizzate consentono accesso completo al database, inclusa la tabella «machines», che contiene informazioni su tutte le installazioni della distribuzione, comprese Indirizzi IP gli utenti. È anche accessibile il contenuto della tabella «fxkeys» con i codici di licenza e gli indirizzi email di tutti gli utenti commerciali registrati. È interessante notare che, contrariamente alle affermazioni su un milione di utenti, nel database ci sono solo 20.000 record. L'applicazione è scritta in Visual Basic ed è eseguita utilizzando l'interprete Gambas.
Merita attenzione la reazione degli sviluppatori della distribuzione. Dopo la pubblicazione delle informazioni sui problemi di sicurezza, hanno rilasciato un aggiornamento che non ha risolto il problema stesso, ma ha semplicemente cambiato il nome del database, il login e la password, oltre a modificare la logica per ottenere le credenziali e a tentare di contrastare il tracciamento dell'applicazione. Invece delle credenziali incorporate nell'applicazione stessa, gli sviluppatori di Linuxfx hanno aggiunto un caricamento dei parametri di connessione al database da esterno server, utilizzando l'utilità curl. Per motivi di protezione, dopo l'avvio è stato implementato un sistema di ricerca e rimozione di tutti i processi attivi «sudo», «stapbp» e «*-bpfcc» nel sistema, presumibilmente ritenendo che in questo modo sarebbero stati in grado di ostacolare il funzionamento dei programmi di tracciamento.
Fonte: opennet.ru
