Në mjetin iVentoy, i cili përdoret për ngarkimin dhe instalimin e sistemeve operative të rastësishme nëpërmjet rrjetit, është identifikuar një aktivitet i dyshimtë. Kur ngarkohej sistemi operativ Windows përmes rrjetit, mjeti realizonte një zëvendësim të driver-it binar httpdisk.sys në sistem dhe instalonte certifikatën e tij të vetë-nënshkruar në depozitën e certifikatave rrënjësore të sistemit, e cila përdorej për të vërtetuar nënshkrimin digjital të driver-it. 31 nga 70 paketat e antivirusëve që skanuan skedarin httpdisk.sys japin një paralajmërim për praninë e malware-ut.
Një aktivitet i tillë u perceptua si një përpjekje potenciale për të promovuar një backdoor dhe ngriti çështjen e besueshmërisë ndaj projektit të hapur Ventoy. Situata u përkeqësua nga fakti se vitin e kaluar, pas incidentit me backdoor-in në projektin XZ, komuniteti kishte vënë re tashmë dorëzimin e blob-ve të dyshimta në degët e kodit burimor të Ventoy.
Zhvilluesit e NixOS propozuan të zëvendësojnë Ventoy në depozitimin nixpkgs me forkun fnr1r (si alternativë mund të shqyrtohet edhe glim). Projektet Ventoy dhe iVentoy zhvillohen nga një autor dhe kanë qëllim të ngjashëm. Dallimi është se Ventoy është plotësisht i hapur dhe i orientuar për ngarkimin e sistemeve operative nga pajisje USB, ndërsa iVentoy është vetëm pjesërisht i hapur dhe është i destinuar për ngarkim në rrjet duke përdorur teknologjinë PXE.
Autori i projekteve Ventoy dhe iVentoy u angazhua në diskutimin e problemit, duke shpjeguar se kodi i driverit httpdisk.sys është i hapur, dhe vetë driveri është i destinuar për montimin në Windows të imazheve disk nga rrjeti përmes protokollit HTTP, i cili përdoret në iVentoy për marrjen e të dhënave nga instalimi Windows. Zëvendësimi i driverëve dhe skripteve në sistem pas ngarkimit është një veçori e dokumentuar. serverit Përfshirja e driverëve dhe skripteve në sistem pas ngarkimit është një veçori e dokumentuar.
Një certifikatë e vetme, me ndihmën e së cilës është nënshkruar ky drejtues, është shtuar në magazinën e certifikatave rrënjësore për të lejuar ngarkimin e drejtuesit duke anashkaluar verifikimin e aplikimeve të programeve përmes nënshkrimeve digjitale në sistemet Windows. Certifikata është përdorur vetëm në një ambient të përkohshëm WinPE (Windows Preinstallation Environment), i krijuar në memorien operuese. Në instalimet stacionare të Windows në disk nuk është bërë asnjë ndryshim. Ka pasur deklarata se në versionin e ardhshëm të iVentoy, zëvendësimi i certifikatës së tij do të ndalet, pasi ngarkimi i drejtuesit do të kryhet përmes nisjes së WinPE në modin testues.
Sa i përket furnizimit të blob-ëve (1, 2, 3) në Ventoy, zhvilluesi ka deklaruar se këto skedarë binarë janë marrë drejtpërdrejt nga projekte të tjera të hapura dhe Ventoy i përdor ata pa bërë ndryshime. Skedarët ekzekutivë të gatshëm përdoren gjatë procesit të konfigurimit të sistemeve të ngarkueshme. Si një alternativë, rekomandohet që të mos merren ndërtimet e gatshme, por të merren për t'i ndërtuar ato për lëshimet e Ventoy vetë me ndihmën e GitHub CI.
Burimi: opennet.ru
