V navrhovaném balíčku StarDict v repozitáři Debian Testing (budoucí vydání Debianu 13), který implementuje rozhraní pro vyhledávání ve slovnících, byla zjištěna problém s ochranou soukromí — v konfiguraci ve výchozím nastavení aplikace automaticky posílá vybraný text (x11 PRIMARY selection) na externí servery bez šifrování přes protokol HTTP na čínské servery online slovníků dict.youdao.com a dict.cn. Problém se projevuje pouze v prostředích založených na protokolu X11, při používání Waylandu je ve výchozím nastavení aplikována izolace schránky.
Doprovodný balíček StarDict v Debianu uvedl, že takové chování je standardní. Ve výchozím nastavení je v StarDict aktivován režim automatického vyhledávání ve slovnících vybraného textu a jsou povoleny jak místní, tak externí slovníky. Servery dict.youdao.com a dict.cn poskytují anglo-čínské slovníky, které jsou připojovány přes pluginy, které jsou ve výchozím nastavení aktivovány při instalaci balíčku stardict-plugin, který je doporučenou závislostí pro balíček stardict-gtk. Těm, kterým takové chování nevyhovuje, se doporučuje v nastavení vypnout síťové slovníky nebo funkci automatického vyhledávání při výběru.
Uživatel, který si na problém upozornil, namítl, že takové chování by v žádném případě nemělo být ve výchozím nastavení aktivováno, protože vede k úniku informací. Uživatel může vybrat v aplikacích text s citlivým obsahem, například hesly a osobními údaji. Přičemž informace nejenže potenciálně zůstávají v logách na serverima dict.youdao.com a dict.cn a jsou viditelná jejich administrátorům, ale také se stává dostupnou pro odposlech provozu kvůli použití HTTP, nikoli HTTPS. 911565 write(16, «GET HTTP://dict.youdao.com/fsearch?q=vybraný text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n», 171) = 171 911565 write(17, «GET HTTP://dict.cn/ws.php?utf8=true&q=vybraný text HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n», 164) = 164
Zanimljivo je da je 2009. godine slično ponašanje u StarDict-u prepoznato kao ranjivost (CVE-2009-2260) i da je pristup mrežnim rečnicima isključen po difOLtu. Sada se ova funkcionalnost ponovo vraća.
Izvor: opennet.ru
