The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Пакет StarDict в Debian отправляет выделенный текст на внешние серверы

04.08.2025 22:08

В предлагаемом в репозитории Debian Testing (будущий релиз Debian 13) пакете StarDict, реализующем интерфейс для поиска в словарях, выявлена проблема с конфиденциальностью - в конфигурации по умолчанию приложение отправляет автоматически помещаемый в буфер обмена выделенный текст (x11 PRIMARY selection) на внешние серверы. Достаточно в любом приложении выделить отрывок текста и он сразу отправляется без шифрования по протоколу HTTP на китайские серверы online-словарей dict.youdao.com и dict.cn. Проблема проявляется только при работе в окружениях на базе протокола X11, при использовании Wayland по умолчанию применяется изоляция буфера обмена.

Сопровождающий пакет StarDict в Debian ответил, что подобное поведение является штатным. По умолчанию в StarDict включён режим автоматического поиска в словарях выделенного текста и активированы как локальные, так и внешние словари. Серверы dict.youdao.com и dict.cn предоставляют англо-китайские словари, подключаемые через плагины, по умолчанию включаемые при установке пакета stardict-plugin, который является рекомендованной зависимостью для пакета stardict-gtk. Тем, кого подобное поведение не устраивает, рекомендовано в настройках отключить сетевые словари или функцию автоматического поиска при выделении.

Обративший внимание на проблему пользователь возразил, что подобное поведение ни при каких условиях не должно активироваться по умолчанию, так как она приводит к утечке информации. Пользователь может выделять в приложениях текст с конфиденциальным содержимым, например, паролями и личными данными. При этом информация не только потенциально оседает в логах на серверах dict.youdao.com и dict.cn и видна их администраторам, но и становится доступна для перехвата трафика из-за использования HTTP, а не HTTPS.


911565 write(16, "GET HTTP://dict.youdao.com/fsearch?q=выделенный текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.youdao.com\r\nConnection: close\r\n\r\n", 171) = 171

911565 write(17, "GET HTTP://dict.cn/ws.php?utf8=true&q=выделенный текст HTTP/1.0\r\nUser-Agent: Mozilla/4.0(compatible;MSIE 5.00;Windows 98)\r\nAccept: */*\r\nHost: dict.cn\r\nConnection: close\r\n\r\n", 164) = 164

Примечательно, что в 2009 году аналогичное поведение в StarDict было признано уязвимостью (CVE-2009-2260) и обращение к сетевым словарям было отключено по умолчанию. Теперь данная функциональность опять возвращена.

  1. Главная ссылка к новости (https://www.openwall.com/lists...)
  2. OpenNews: После десятилетнего перерыва опубликован GoldenDict 1.5.0
  3. OpenNews: Загадочное исчезновение проекта StarDict с SourceForge.net
  4. OpenNews: Debian запрещает использование в пакетах секции со специфичными для вендоров патчами
  5. OpenNews: Прецедент с удалением пакета из репозитория Debian из-за пошлого названия
  6. OpenNews: В Debian разрешено встраивание зависимостей в пакет Kubernetes
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63677-stardict
Ключевые слова: stardict
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (53) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 22:25, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +12 +/
    Тут понятно что само приложение - зонд тот ещё, но мантейнеры могли бы изменить настроки по умолчанию, они для таких вещей и нужны
     
     
  • 2.3, СисадминА (?), 22:32, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Комьюнити в основном из школьников состоит. Думаешь они знают как это сделать?
     
     
  • 3.4, Эксконтрибутор FreeBSD (?), 22:35, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Коммунити Debian скорее уж из дедов которые в силу деменции не помнят где это сделать, чем из выдуманных тобой школьников
     
     
  • 4.12, andy (??), 23:01, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это говорит бывший контрибутор FreeBSD? Уж чья бы корова мычала.
     
     
  • 5.19, Эксконтрибутор FreeBSD (?), 23:17, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Ну я работал с FreeBSD с 1997 года(сначала как помощник админа в универе, потом админ, потом админ+коммитер в FreeBSD и так далее), с самого начала своей карьеры, сейчас мне 45. При этом если бы я продолжал коммитить в FreeBSD я бы считался одним из самых молодых, там сейчас народ под 60
    В Debian тоже под 60 это норма, нет там особо молодежи
     
     
  • 6.30, Аноним (30), 23:36, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Хлоп-хлоп-хлоп.жпг
     
  • 2.11, Аноним (11), 23:01, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Ты спрашиваешь почему 肖盛文 Xiao Sheng Wen (Debian Developer) не изменил настройку по умолчанию?
     
  • 2.28, Аноним (28), 23:35, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >могли бы изменить

    Таких УМАОДАНовцев уже полно, и внедряются именно для таких вещей.

     
  • 2.54, Аноним (54), 00:32, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Не нравится - сам сопровождай. А мейнтейнер ради этого бэкдора пакет и сопровождает.
     

  • 1.2, СисадминА (?), 22:30, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Я тут уже лет 5 пишу что дебиан это глючное дно, не верили. Так оно ещё и вон как умеет
     
     
  • 2.5, Эксконтрибутор FreeBSD (?), 22:35, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос к StarDict который когда-то был перехвачен китайцами
    Думаю если проверить пакет в твоем арчике или гентушечке, то будет такое же поведение
     
     
  • 3.13, Аноним (11), 23:05, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > когда-то был перехвачен китайцами

    А ты посмотри кто мэнтейнит сам Дебиан.

    Вот переписка этого "бага": https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1110370

     
     
  • 4.20, Эксконтрибутор FreeBSD (?), 23:17, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А, в Дэбе те же китайцы и ведут пакет?
    Ну тогда тем более нет вопросов
     
  • 2.6, Аноним (-), 22:47, 04/08/2025 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 2.25, Ценитель GPL рогаликов (?), 23:23, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    глюк от функции "сисадмин" умеет отличать?
     

  • 1.7, dannyD (?), 22:48, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    ахренеть.... других слов посто нет...
     
     
  • 2.8, Аноним (8), 22:54, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    жаль, что мыши не испытывают чувства "ахренения", когда за сыром в мышеловку лезут :)
     
  • 2.17, Аноним (17), 23:13, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ахренеть... Иксы позволяют приложению А воровать данные из окна приложения Б... При этом фанатики считают, что так и надо, что никакой дыры нет...
     
     
  • 3.43, Аноним (-), 00:03, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > ахренеть... Иксы позволяют приложению А воровать данные из окна приложения Б... При
    > этом фанатики считают, что так и надо, что никакой дыры нет...

    Это не баг - это фича (с)
    Иксофанатики еще любят рассказывать что "как классно что любое приложение может сделать скриншот любого другого!"

    А на вопросы о приватности, советуют запускать несколько икс серверов)

     
  • 3.48, АнонимЪ (?), 00:16, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ну так патчи безопасности для иксов красношапка не пускала (не шутка). А в OpenBSD иксы давно такой дырени не подвержены.
     
  • 3.55, Аноним (55), 00:33, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    ахренеть... буфер обмена между приложениями - существует! Но только в иксах и виндах. В вяленом буфера нет - безопасность не позволяет.
     

  • 1.9, dannyD (?), 22:58, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    короче, пора закрывать доступ в сеть всем, и начинать раздавать билетики.
     
     
  • 2.14, anonimus (?), 23:07, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Как это сделать?
     
     
  • 3.16, Ценитель GPL рогаликов (?), 23:12, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Читать мануалы по файерволу?
     
  • 3.44, Аноним (44), 00:08, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    opensnitch
     
  • 3.52, Аноним (8), 00:29, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    ну вот и тема для курсача :)
     

  • 1.10, Аноним (-), 23:00, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Проблема проявляется только при работе в окружениях на базе протокола X11,

    Ахаха! Дырявые иксы из 80х внезапно таки оказались дырявыми!
    Надо же, кто бы мог подумать!)) Зато "просто работают"))

    > при использовании Wayland по умолчанию применяется изоляция буфера обмена.

    Вот так и дожен работать современный софт.
    Вначале безопасность, а потом все остальное.

     
     
  • 2.18, Аноним (18), 23:15, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Самый безопасный комп — выключенный. Начни с себя!
     
     
  • 3.41, Аноним (28), 23:58, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Формально вы правы, но и критическое мышление каждый раз приводит к тому, что надо дистанцироваться от всего китайского.
     

  • 1.15, Аноним (17), 23:09, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    А вот и наглядная иллюстрация моему примеру, где калькулятор ворует пароль, вводимый в sudo в соседнем терминале, а потом отправляет куда положено в интернет. Такую дыру в безопасности надо бы чинить на уровне оконной системы, -- программа не должна иметь доступ к окнам сторонних программ. Но в иксах такое невозможно, диды задумали, что "всё доступно всем". К счастью, в вяленом таких проблем нет.
     
     
  • 2.23, Аноним (23), 23:19, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    X придумали не программисты, а MIT
     
     
  • 3.27, Аноним (-), 23:35, 04/08/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.36, Аноним (36), 23:45, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > где калькулятор ворует пароль

    Я тебя может удивлю, но чтение выделенного текста - штатная функция программы. Адаптировать её под вяленый - вопрос времени.

     
     
  • 3.42, Аноним (-), 00:02, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Я тебя может удивлю, но чтение выделенного текста - штатная функция программы.

    Без запроса на какие-то разрешения от ОС?
    Или без проса иметь один буфер на всех, ну и пользователя заодно поиметь?

    > Адаптировать её под вяленый - вопрос времени.

    Вот когда адаптируют, тогда и поговорим)
    Пока у нас тут дырявые иксы и китайские мейнтенеры деба.


     
  • 2.45, Аноним (45), 00:09, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А вместо пароля будет скопировано:
    ●●●●●●●●
     
  • 2.46, Аноним (23), 00:11, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В XLibre это вроде как исправили
     

  • 1.21, Аноним (23), 23:17, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ой, а я же тоже пользовался этим StarDict'ом. Что теперь будет?
     
     
  • 2.24, Голум (?), 23:20, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Искать свои утекшие буферы на просторах интернета.
     

  • 1.22, Ценитель GPL рогаликов (?), 23:18, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    У секты обиженок на свободный софт сегодня праздник. Можно полицемерить на тему того, что некоторый малварь выдаваемый за софт ничем не хуже.
     
     
  • 2.32, Аноним (-), 23:38, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > У секты обиженок на свободный софт сегодня праздник. Можно полицемерить на тему
    > того, что некоторый малварь выдаваемый за софт ничем не хуже.

    С чего это "полицемерить"?
    Это же СВОБОДНЫЙ СОФТ!!1 Прямая противоположность проклятым проприерастам.
    Тыщщи глаз лудших представителей Сообщества™ неустанно глядят в сорцы, дабы обезопасить свои репозитории!

    А вот как оно получилось - дырявые иксы, слепыпошарые мейнтейнеры деба, утекшие китайцам пароли и все остальное)))


     
     
  • 3.49, Ценитель GPL рогаликов (?), 00:22, 05/08/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.26, Аноним (28), 23:32, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >по протоколу HTTP на китайские серверы

    Давайте честно, разве кото-то это удивляет ?
    - https://www.opennet.me/opennews/art.shtml?num=63205
    - https://www.opennet.me/opennews/art.shtml?num=58613

     
     
  • 2.34, Аноним (23), 23:41, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Недавно мой смартфон Хуавей выдал предупреждение: он сказал что в целях программы по поддержки пользователей продукции Хуавей (official user support), он передаст моё местоположение в Хуавей, хотя я не включал определение местоположения. Это вирус?
     
     
  • 3.37, Аноним (28), 23:46, 04/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >Это вирус?

    Это КПК.

     
  • 3.50, Ценитель GPL рогаликов (?), 00:26, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Как ты думаешь, если его для госслужащих "США" запрещали, может основание для этого какое-то есть все таки?
     

  • 1.29, Аноним (23), 23:35, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Зачем Максим перед сном настроение портит такими новостями?
     

  • 1.31, Аноним (30), 23:38, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Тысячи глаз наконец сфокусировались!
     
  • 1.33, Аноним (30), 23:40, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    За такое надо удалять пакет из дистра.
     
  • 1.39, Аноним (28), 23:55, 04/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Обративший внимание на проблему пользователь

    Значит, что Общественный договор Debian работает:
    https://www.debian.org/social_contract

     
     
  • 2.47, Аноним (-), 00:13, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Значит, что Общественный договор Debian работает:
    > https://www.debian.org/social_contract

    Хм... что-то я не вижу в Договоре "мы сп**м ваши пароли, а потом так и быть, после долгих пререканий согласимся что это лажа. Пакет, кстати, удалять не будем".
    Но главное он работает!


     
     
  • 3.53, Ценитель GPL рогаликов (?), 00:30, 05/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Т.е. соцконтракт подтверждает, что твои пароли ни кому не нужны? Обидно наверное? Никакого внимания   твоей чрезвычайно важной персоне.
     

  • 1.51, Аноним (54), 00:29, 05/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Предупреждали же: по закону о разведке каждый китайский гражданин обязан помогать родной ОПГ шпионить за всеми.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру