StarDict gửi clipboard X11 tới máy chủ từ xa

(lwn.net)

1 điểm bởi GN⁺ 2025-08-13 | Chưa có bình luận nào. | Chia sẻ qua WhatsApp

Đã phát hiện một lỗ hổng bảo mật nghiêm trọng khi StarDict trong môi trường X11 gửi phần văn bản người dùng chọn tới máy chủ bên ngoài qua HTTP không mã hóa
Sự cố này xảy ra vì các plugin YouDao và dict.cn được bật mặc định trong cấu hình mặc định của Debian
Điều này có nghĩa là mỗi khi người dùng chọn bất kỳ đoạn văn bản nào, nó sẽ tự động được gửi lên máy chủ, kéo theo nguy cơ rò rỉ thông tin nhạy cảm
Người quản lý gói đã xem xét đề xuất vô hiệu hóa tính năng và tách plugin, nhưng việc áp dụng giải pháp tận gốc vẫn còn thiếu sót
Vấn đề này đã nhiều lần được nêu ra trong quá khứ, một lần nữa cho thấy sự thiếu vắng phản ứng triệt để và tầm quan trọng của nhận thức bảo mật

Tổng quan về cách StarDict hoạt động và vấn đề bảo mật

StarDict là một chương trình từ điển đa nền tảng theo giấy phép GPLv3, hỗ trợ nhiều ngôn ngữ và có hệ sinh thái plugin phong phú
Trong cấu hình mặc định của Debian, khi chạy StarDict, văn bản do người dùng chọn sẽ được gửi tới hai máy chủ từ xa youdao.com và dict.cn qua HTTP không mã hóa
Vấn đề này cũng đã được báo cáo trên danh sách thư oss-security và trình theo dõi lỗi của Debian

Về mặt thiết kế của StarDict, phần mã giao tiếp với các website từ điển là một cấu phần tự nhiên, nhưng tính năng "quét" lại được bật mặc định
- Điều này có nghĩa là khi người dùng chọn văn bản bằng chuột, một cửa sổ bật lên dịch thuật sẽ tự động xuất hiện, đồng thời văn bản đó cũng tự động bị gửi tới máy chủ bên ngoài
- Vấn đề đặc biệt nghiêm trọng khi người dùng luôn để StarDict chạy nền

Trong môi trường Wayland, StarDict không thể chụp văn bản từ ứng dụng khác, nên tính năng quét không hoạt động và không phát sinh vấn đề bảo mật này
Vấn đề này hiện chỉ tồn tại trong môi trường X11 truyền thống

Người quản lý gói Debian Xiao Sheng Wen cho rằng đây không phải vấn đề lớn vì "có thể vô hiệu hóa tính năng quét và plugin YouDao"
Tuy nhiên, người báo cáo Vincent Lefevre chỉ ra rằng "các tính năng liên quan tới quyền riêng tư bắt buộc phải bị tắt theo mặc định"
Có thể thông báo tính năng này qua phần mô tả gói, nhưng mô tả của stardict-plugin không hề đề cập tới việc sử dụng từ điển trực tuyến
Đã có đề xuất cải thiện như tách plugin riêng, nhưng chưa có hành động tức thời

Tính năng quét là một ưu điểm lớn của StarDict khi người dùng muốn tra từ điển nhanh lúc đọc ngoại ngữ
Nhưng người dùng khó có thể ngờ rằng giao tiếp này không được mã hóa. Bất kỳ ai trên đường truyền trung gian đều có thể thấy văn bản nhạy cảm

Những trường hợp tương tự cũng từng được báo cáo vào năm 2009 và 2015
- Năm 2009: việc vô hiệu hóa từ điển mạng từng được áp dụng tạm thời làm mặc định
- Tuy nhiên plugin YouDao được thêm vào năm 2016 lại bỏ qua thiết lập đó
- Vấn đề năm 2015 mãi tới năm 2025 mới được xử lý theo hướng loại bỏ plugin
Có thể thấy vấn đề tái diễn và phản ứng chậm chạp, cùng việc thay đổi người bảo trì và ưu tiên xử lý chưa phù hợp, đã lặp lại nhiều lần

Theo thống kê của Debian, hiện chỉ có khoảng 178 người cài và dùng StarDict, nhưng nếu tính cả các hệ thống không tham gia thống kê thì trong nhiều năm qua có thể đã có khá nhiều người dùng bị phơi bày trước nguy cơ rò rỉ văn bản
Mật khẩu được sao chép, email nhạy cảm, đoạn văn bản được chọn khi đang chỉnh sửa tài liệu đều có thể bị lộ nguyên trạng ra bên ngoài

Những bản phân phối lớn như Debian phải quản lý rất nhiều gói, nên tình trạng bỏ sót cập nhật và phần mềm lỗi thời xảy ra thường xuyên
Định luật Linus rằng "nếu đủ nhiều người cùng nhìn thì lỗi sẽ trở nên nông" chỉ đúng khi thực sự có ai đó phát hiện lỗi, báo cáo nó, và người bảo trì công nhận rồi sửa chữa

Việc đưa Wayland vào sử dụng nhằm giảm chính kiểu lỗ hổng bảo mật này, đặc biệt là khả năng rò rỉ thông tin giữa các ứng dụng
Tuy vậy, sự bất tiện về mặt chức năng và cách xử lý quyền truy cập mới đi kèm vẫn là những thách thức còn lại

Thực tế rằng những vấn đề bảo mật được phát hiện, chẩn đoán và báo cáo vẫn có thể chưa được xử lý hoặc tiếp tục tái diễn là điều đáng lo ngại
Để duy trì uy tín bảo mật của Linux, cần có sự nhận thức liên tục và phản ứng nhanh từ các nhà phát triển mã nguồn mở, người phụ trách quản lý gói và người dùng