출시일에 확인된 Librem One 서비스의 치명적인 취약점

스마트폰에서의 사용을 목표로 하는 Librem One 서비스에 무료 5, 직후 출시 표면 중요한 문제 개인 정보 보호를 위한 안전한 플랫폼으로 제시되는 프로젝트의 신용을 떨어뜨리는 보안 기능이 있습니다. 이 취약점은 Librem Chat 서비스에서 발견되었으며 인증 매개변수를 몰라도 모든 사용자로 채팅에 들어갈 수 있도록 허용되었습니다.

사용된 백엔드 코드에서 매트릭스 네트워크에 대한 LDAP(matrix-appservice-ldap3)를 통한 인증이 허용되었습니다. 오류, Librem One 작업 서비스 코드로 전송되는 것으로 밝혀졌습니다. 문자열 "result, _ = yield self._ldap_simple_bind" 대신 "result = yield self._ldap_simple_bind"로 지정되어 권한이 없는 사용자는 모든 식별자로 채팅에 들어갈 수 있습니다. 실수를 저지른 Matrix 프로젝트 개발자 주장하다문제는 "matrix-appservice-ldap3" 마스터 브랜치에만 나타나고 릴리스에는 나타나지 않지만 리포지토리에는 문제가 있는 라인이 있습니다. 선물 2016년 이후(아마도 문제의 작동 조건은 다른 최근 변경 이후에만 발생했을 수 있음).

운영에 들어간 Librem One 서비스 세트는 유료 구독(월 $7.99 또는 연간 $71.91)을 의미하지만 동시에 모바일 클라이언트 및 서버 핸들러의 기반으로 사용된 기존 공개 프로젝트 개명 Librem 브랜드로 배포합니다. 예를 들어 Librem Chat은 이름이 바뀐 Matrix 클라이언트입니다. 폭동, Librem Social은 터스키, Librem 메일은 다음에서 이름이 변경되었습니다. K-9, Librem 터널에서 빌린 ics-openvpn. 서버 구성 요소는 다음을 기반으로 합니다.
Librem 메일용 Postfix 및 Dovecot, 매트릭스 Librem 채팅 및 마 스톤 리브렘 소셜용. 다른 이름으로 애플리케이션을 제공하는 이유는 공개 표준(Matrix, ActivityPub, IMAP)을 기반으로 하는 다양한 분산 서비스를 하나의 인식 가능한 브랜드로 수집하려는 욕구 때문입니다.

출처 : opennet.ru