No serviço Librem One, voltado para uso em smartphones , logo após surgiu de segurança, que descredita o projeto apresentado como uma plataforma segura para garantir a privacidade. A vulnerabilidade encontrada no serviço Librem Chat permitia que qualquer usuário tivesse acesso ao chat, sem conhecer as credenciais de autenticação.
No código de backend utilizado para autenticação via LDAP (matrix-appservice-ldap3) na rede Matrix, foi cometida uma , que acabou sendo transferida para o código do serviço ativo Librem One. Em vez da linha «result, _ = yield self._ldap_simple_bind», foi escrita «result = yield self._ldap_simple_bind», permitindo que qualquer usuário, sem autenticação, entrasse no chat sob qualquer identificação. Os desenvolvedores do projeto Matrix , que o problema aparecia apenas na branch master do «matrix-appservice-ldap3», e não nas versões públicas, mas no repositório, a linha problemática estava presente desde 2016 (possivelmente as condições para exploração do problema só surgiram após algumas mudanças recentes).
O conjunto de serviços Librem One proposto implica uma assinatura paga ($7,99 por mês ou $71,91 por ano), mas, ao mesmo tempo, foi utilizado como base para os clientes móveis e processadores de servidor projetos abertos existentes, que foram para serem distribuídos sob a marca Librem. Por exemplo, o Librem Chat é um cliente Matrix renomeado, o Librem Social é baseado em o Librem Mail é renomeado de o Librem Tunnel foi emprestado de Os componentes do servidor são baseados em
Postfix e Dovecot para Librem Mail, para Librem Chat e para Librem Social. A razão apresentada para fornecer os aplicativos sob nomes diferentes é a intenção de reunir diversos serviços descentralizados baseados em padrões abertos sob uma marca reconhecível (Matrix, ActivityPub, IMAP).
Fonte: opennet.ru
