V navrhovaném balíčku StarDict v repozitáři Debian Testing (budoucí vydání Debian 13), který implementuje rozhraní pro vyhledávání ve slovnících, byla zjištěna problém s ochranou soukromí — v základní konfiguraci aplikace automaticky odesílá označený text (x11 PRIMARY selection) na externí servery. Stačí v jakékoli aplikaci označit úryvek textu a ten je okamžitě odeslán nešifrovaně protokolem HTTP na čínské servery online slovníků dict.youdao.com a dict.cn. Problém se projevuje pouze při práci v prostředích založených na protokolu X11, zatímco při použití Wayland je výchozí izolace schránky.
Doprovodný balíček StarDict v Debianu uvedl, že takové chování je standardní. Ve výchozím nastavení je v StarDict zapnut režim automatického vyhledávání označeného textu ve slovnících a aktivovány jak místní, tak externí slovníky. Servery dict.youdao.com a dict.cn poskytují anglo-čínské slovníky, které se připojují přes pluginy, které jsou výchozím způsobem zapnuty při instalaci balíčku stardict-plugin, což je doporučovaná závislost pro balíček stardict-gtk. Těm, kteří nejsou s tímto chováním spokojeni, se doporučuje v nastavení vypnout síťové slovníky nebo funkci automatického vyhledávání při označení.
Uživatel, který upozornil na problém, namítl, že takové chování by za žádných okolností nemělo být ve výchozím nastavení aktivováno, protože to vede k úniku informací. Uživatel může v aplikacích označovat text s důvěrnými informacemi, například hesly a osobními údaji. serveroch Přitom informace nejenže potenciálně zůstávají v logách na dict.youdao.com a dict.cn a jsou viditelné jejich administrátorům, ale také se stávají dostupnými pro odposlech provozu díky použití HTTP, nikoli HTTPS. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=označený text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=označený text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164
Je pozoruhodné, že v roce 2009 bylo podobné chování ve StarDict uznáno jako zranitelnost (CVE-2009-2260) a přístup k síťovým slovníkům byl ve výchozím nastavení vypnut. Nyní byla tato funkčnost znovu vrácena.
Zdroj: opennet.ru
