사용자 기반에 접근하기 위한 고정된 비밀번호가 Linuxfx 배포판에서 공개되었습니다.

Kernal 커뮤니티 회원들은 Windows 11 스타일 KDE 사용자 환경에서 Ubuntu 빌드를 제공하는 Linuxfx 배포판의 보안에 대해 비정상적으로 무관심한 태도를 확인했습니다. 프로젝트 웹사이트에 따르면 배포판에는 백만 명 이상의 사용자가 있으며 약 이번 주 다운로드 수는 15회입니다. 배포 키트는 특수 그래픽 애플리케이션에 라이센스 키를 도입하여 추가 유료 기능 활성화를 제공합니다.

라이선스 활성화 애플리케이션(/usr/bin/windowsfx-register)에 대한 연구에 따르면 여기에는 새 사용자에 대한 데이터가 추가되는 외부 MySQL DBMS에 액세스하기 위한 내장된 로그인 및 비밀번호가 포함되어 있는 것으로 나타났습니다. 동시에, 사용된 자격 증명을 사용하면 사용자 IP 주소를 포함하여 배포 키트의 모든 설치에 대한 정보를 반영하는 "머신" 테이블을 포함하여 데이터베이스에 대한 전체 액세스 권한을 얻을 수 있습니다. 등록된 모든 상용 사용자의 라이센스 키와 이메일 주소가 포함된 "fxkeys" 테이블의 내용도 제공됩니다. 주목할 점은 사용자가 20만 명이라는 주장과 달리 데이터베이스에 기록된 기록이 XNUMX만 건에 불과하다는 점이다. 응용 프로그램은 Visual Basic으로 작성되었으며 Gambas 인터프리터를 사용하여 실행됩니다.

배포 키트 개발자의 반응은 특별한 관심을 받을 만합니다. 보안 문제에 대한 정보가 공개된 후 문제 자체를 수정하지는 않고 데이터베이스 이름, 로그인 및 비밀번호만 변경하고 자격 증명 획득 로직도 변경하고 프로그램 추적을 처리하려는 업데이트를 출시했습니다. 애플리케이션 자체에 포함된 자격 증명 대신 Linuxfx 개발자는 컬 유틸리티를 사용하여 외부 서버에서 데이터베이스 연결 매개변수 로드를 추가했습니다. 시작 후 보호를 위해 시스템에서 실행 중인 모든 "sudo", "stapbp" 및 "*-bpfcc" 프로세스를 검색하고 제거합니다. 이러한 방식으로 추적을 위한 프로그램 작업을 방해할 수 있다고 생각됩니다.

출처 : opennet.ru