Členovia komunity Kernal odhalili mimoriadne nezodpovedný prístup k bezpečnosti v distribúcii Linuxfx, ktorá ponúka zostavenie Ubuntu s používateľským prostredím KDE, prispôsobeným rozhraniu Windows 11. Podľa údajov z webovej stránky projektu distribúci používajú viac ako milión užívateľov, pričom tento týždeň bolo zaznamenaných približne 15 tisíc sťahovaní. Distribúcia ponúka aktiváciu dodatočných platiacich funkcií, ktorá sa vykonáva zadaním licenčného kľúča v špeciálnej grafickej aplikácii.
Štúdia aplikácie na aktiváciu licencie (/usr/bin/windowsfx-register) ukázala, že obsahuje zabudované prihlásenie a heslo na prístup k externému databázovému systému MySQL, do ktorého sa pridávajú údaje o novom užívateľovi. Použité prihlasovacie údaje umožňujú získať úplný prístup k databáze, vrátane tabuľky „machines“, v ktorej sú uvedené informácie o všetkých inštaláciách distribúcie, vrátane IP adresy užívateľov. Prístupné sú tiež údaje z tabuľky „fxkeys“ s licenčnými kľúčmi a e-mailovými adresami všetkých registrovaných komerčných užívateľov. Zaujímavé je, že na rozdiel od vyhlásení o milióne užívateľov, v databáze je iba 20 tisíc záznamov. Aplikácia je napísaná v jazyku Visual Basic a vykonáva sa pomocou interpretera Gambas.
Samostatnú pozornosť si zaslúži reakcia vývojárov distribúcie. Po zverejnení informácií o bezpečnostných problémoch vydali aktualizáciu, v ktorej nevyriešili samotný problém, ale len zmenili názov databázy, prihlásenie a heslo, ako aj zmenili logiku získavania prihlasovacích údajov a pokúsili sa bojovať s trasovaním programu. Namiesto zabudovaných prihlasovacích údajov pridaných priamo do aplikácie vývojári Linuxfx zahrnuli načítanie parametrov pripojenia k databáze z vonkajšieho servera, pomocou utilitky curl. Pre ochranu po spustení je realizované vyhľadávanie a odstraňovanie všetkých spustených procesov „sudo“, „stapbp“ a „*-bpfcc“ v systéme, zjavne s presvedčením, že týmto spôsobom budú môcť zabrániť činnosti programov na trasovanie.
Zdroj: opennet.ru
