סיסמה קשיחה לגישה לבסיס המשתמשים נחשפה בהפצת Linuxfx

חברי קהילת Kernal זיהו יחס רשלני בצורה יוצאת דופן לאבטחה בהפצת Linuxfx, המציעה מבנה של אובונטו עם סביבת המשתמש KDE, המעוצבת כממשק Windows 11. לפי נתונים מאתר הפרויקט, ההפצה משמשת על ידי יותר ממיליון משתמשים, וכ-15 אלף הורדות נרשמו השבוע. ערכת ההפצה מציעה הפעלה של פיצ'רים נוספים בתשלום, הנעשית על ידי הזנת מפתח רישיון באפליקציה גרפית מיוחדת.

מחקר של אפליקציית הפעלת הרישיון (/usr/bin/windowsfx-register) הראה שהיא כוללת התחברות וסיסמה מובנית לגישה ל-MySQL DBMS חיצוני, שאליו מתווספים נתונים על המשתמש החדש. במקרה זה, האישורים המשמשים מאפשרים לך לקבל גישה מלאה למסד הנתונים, כולל טבלת "מכונות", המציגה מידע על כל ההתקנות של ההפצה, כולל כתובות IP של המשתמש. התוכן של טבלת "fxkeys" עם מפתחות רישיון וכתובות דואר אלקטרוני של כל המשתמשים המסחריים הרשומים זמין גם כן. ראוי לציין שבניגוד להצהרות על מיליון משתמשים, יש רק 20 אלף רשומות במאגר. האפליקציה כתובה ב-Visual Basic ופועלת באמצעות המתורגמן של Gambas.

תגובת מפתחי ההפצה ראויה לתשומת לב מיוחדת. לאחר פרסום מידע על בעיות אבטחה, הם הוציאו עדכון שבו לא תיקנו את הבעיה בעצמה, אלא רק שינו את שם מסד הנתונים, הכניסה והסיסמה, וכן שינו את ההיגיון לקבלת אישורים וניסו להילחם במעקב אחר תוכניות. במקום אישורים מובנים באפליקציה עצמה, מפתחי Linuxfx הוסיפו פרמטרי טעינה לחיבור למסד הנתונים משרת חיצוני באמצעות כלי השירות curl. לצורך הגנה לאחר ההשקה, יושמו חיפוש והסרה של כל תהליכי "sudo", "stapbp" ו-"*-bpfcc" הפועלים במערכת, ככל הנראה מתוך אמונה שבדרך זו הם יכולים להפריע לפעולת תוכניות המעקב .

מקור: OpenNet.ru