Anëtarët e komunitetit Kernal kanë zbuluar një qasje jashtëzakonisht e papërgjegjshme ndaj sigurisë në shpërndarjen Linuxfx, e cila ofron një përbërje të Ubuntu me një mjedis përdoruesi KDE, të stilizuar sipas ndërfaqes së Windows 11. Sipas të dhënave nga faqja e projektit, kjo shpërndarje përdoret nga më shumë se një milion përdoruesish, dhe gjatë kësaj jave janë regjistruar rreth 15 mijë shkarkime. Shpërndarja ofron aktivizimin e funksioneve shtesë me pagesë, e cila realizohet përmes futjes së një çelësi licencë në një aplikacion grafik të veçantë.
Kërkimi i aplikacionit për aktivizimin e licencës (/usr/bin/windowsfx-register) tregoi se ai përmban një emër përdoruesi dhe një fjalëkalim të harduar për qasje në një DB të jashtme MySQL, në të cilën shtohen të dhënat për përdoruesit e rinj. Ndërkohë, kredencialet e përdorura mundësojnë qasje të plotë në DB, përfshirë tabelën "machines" që reflekton informacionin për të gjitha instalimet e shpërndarjes, duke përfshirë adresat IP përdoruesit. E disponueshme është gjithashtu përmbajtja e tabelës "fxkeys" me çelësat e licencës dhe adresat e email-eve të të gjitha përdoruesve komercialë të regjistruar. E veçantë është se, përveç deklaratave për një milion përdoruesish, në DB ka vetëm 20 mijë regjistrime. Aplikacioni është shkruar në gjuhën Visual Basic dhe ekzekutohet duke përdorur interpretorin Gambas.
Një vëmendje të veçantë meriton reagimi i zhvilluesve të shpërndarjes. Pas publikimit të informacionit mbi problemet e sigurisë, ata lëshuan një përditësim, në të cilin nuk e eliminuan problemin, por thjesht ndërruan emrin e DB, emrin e përdoruesit dhe fjalëkalimin, si dhe ndryshuan logjikën e marrjes së kredencialeve dhe tentuan të luftojnë me ndjekjen e programit. Në vend të kredencialeve të harduara në aplikacionin vetë, zhvilluesit e Linuxfx kanë shtuar ngarkimin e parametrave të lidhjes me DB nga jashtë server, duke përdorur utilitarin curl. Për mbrojtje, pas nisjes implementohet një kërkim dhe fshirje e të gjitha proceseve të nisura "sudo", "stapbp" dhe "*-bpfcc" në sistem, ndoshta duke menduar se kështu do të parandalonin punën e programeve për ndjekje.
Burimi: opennet.ru
