No pacote do repositório Debian Testing (futuro lançamento do Debian 13) do StarDict, que implementa uma interface para pesquisa em dicionários, foi identificada uma questão de privacidade — na configuração padrão, o aplicativo envia automaticamente o texto selecionado (x11 PRIMARY selection) para servidores externos. Basta selecionar um trecho de texto em qualquer aplicativo, e ele é enviado imediatamente sem criptografia via protocolo HTTP para os servidores chineses dos dicionários online dict.youdao.com e dict.cn. O problema ocorre apenas ao trabalhar em ambientes baseados no protocolo X11; ao usar Wayland, a isolação da área de transferência é aplicada por padrão.
O pacote acompanhante StarDict no Debian respondeu que esse comportamento é padrão. Por padrão, o StarDict ativa o modo de pesquisa automática no texto selecionado e ativa tanto dicionários locais quanto externos. Os servidores dict.youdao.com e dict.cn oferecem dicionários de inglês-chinês, que podem ser conectados por plugins, ativados por padrão ao instalar o pacote stardict-plugin, que é uma dependência recomendada para o pacote stardict-gtk. Para aqueles que não estão satisfeitos com esse comportamento, é recomendável desativar dicionários online ou a função de pesquisa automática ao selecionar nas configurações.
Um usuário que chamou atenção para o problema contradisse, afirmando que esse comportamento não deveria ser ativado por padrão em nenhuma circunstância, pois leva à vazamento de informações. O usuário pode selecionar texto em aplicativos com conteúdo confidencial, como senhas e dados pessoais. Assim, a informação não só potencialmente fica registrada nos logs de servidores dict.youdao.com e dict.cn e é visível para seus administradores, mas também se torna acessível para interceptação de tráfego devido ao uso de HTTP, e não HTTPS. 911565 write(16, "GET HTTP://dict.youdao.com/fsearch?q=texto selecionado HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n", 171) = 171 911565 write(17, "GET HTTP://dict.cn/ws.php?utf8=true&q=texto selecionado HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n", 164) = 164
É notável que em 2009 um comportamento semelhante no StarDict foi reconhecido como uma vulnerabilidade (CVE-2009-2260) e o acesso a dicionários online foi desativado por padrão. Agora, essa funcionalidade foi novamente reinstaurada.
Fonte: opennet.ru
