I Librem One-tjänsten, som är avsedd för användning på smartphones , omedelbart efter kom det fram med säkerheten, som diskrediterar projektet som presenteras som en säker plattform för att garantera integritet. Sårbarheten hittades i Librem Chat-tjänsten och tillät att gå in i chatten under vilket användarnamn som helst, utan kännedom om autentiseringsparametrarna.
I den använda backend-koden för autentisering via LDAP (matrix-appservice-ldap3) för Matrix-nätverket begicks en , som också överfördes till koden för den aktiva Librem One-tjänsten. Istället för raden "result, _ = yield self._ldap_simple_bind" angavs "result = yield self._ldap_simple_bind", vilket lät vilken användare som helst logga in i chatten under vilket identifierare som helst utan autentisering. Utvecklarna av Matrix-projektet , att problemet bara manifesterade sig i master-grenen av "matrix-appservice-ldap3", och inte i releaser, men i datalagret har den problematiska raden funnits sedan 2016 (det är möjligt att villkoren för att utnyttja problemet uppstod först efter några andra nyliga ändringar).
Den inrättade uppsättningen av tjänster i Librem One innebär en betald prenumeration ($7.99 per månad eller $71.91 per år), men mobilenklenterna och serverhanterarna är baserade på befintliga öppna projekt som har för distribution under varumärket Librem. Till exempel är Librem Chat en omdöpt Matrix-klient , Librem Social är baserat på , Librem Mail omdöpt från , Librem Tunnel lånad från . Serverkomponenterna baseras på
Postfix och Dovecot för Librem Mail, för Librem Chat och för Librem Social. Anledningen till att apparna levereras under olika namn är en önskan att samla olika decentraliserade tjänster baserade på öppna standarder (Matrix, ActivityPub, IMAP) under ett igenkännbart varumärke.
Källa: opennet.ru
