Заметка о конфиденциальности: в Debian Testing пакет StarDict отправляет выделенный текст на внешние серверы
В тестовой ветке Debian (Testing), которая станет основой для будущего релиза Debian 13, обнаружена проблема в пакете StarDict, предназначенном для работы со словарями. По умолчанию это приложение автоматически пересылает выделенный пользователем текст — а именно содержимое буфера x11 PRIMARY selection — на внешние онлайн-серверы, без какого-либо шифрования и уведомления пользователя.
Достаточно просто выделить фрагмент текста в любом X11-приложении, и он немедленно отправляется по незащищённому протоколу HTTP на китайские словарные сервисы dict.youdao.com и dict.cn. Такая утечка данных не происходит в окружениях, использующих Wayland, так как Wayland по умолчанию изолирует буфер обмена, предотвращая подобные сценарии.
Сопровождающий пакет в Debian подтвердил, что это поведение является стандартным. В StarDict включён режим автопоиска: при выделении текста программа инициирует запрос к словарям. Причём активны как локальные базы, так и сетевые словари. Онлайн-ресурсы dict.youdao.com и dict.cn предоставляют англо-китайские словари, подключаемые через плагины, которые автоматически активируются при установке пакета stardict-plugin. Этот плагин, в свою очередь, указан как рекомендуемая зависимость для основного интерфейса — stardict-gtk.
Пользователям, обеспокоенным такой функциональностью, рекомендуется вручную отключить использование сетевых словарей или деактивировать автоматический поиск при выделении текста в настройках программы.
Проблему поднял один из пользователей, который отметил, что подобная отправка данных не должна происходить по умолчанию, поскольку представляет угрозу утечки конфиденциальной информации. Текст, выделяемый в различных приложениях, может включать личные данные, пароли, фрагменты исходного кода и другую чувствительную информацию. Отправка таких данных через HTTP делает их потенциально доступными как для администраторов удалённых серверов, так и для злоумышленников, способных перехватить трафик.
Особенно примечательно, что аналогичная уязвимость уже была зафиксирована в 2009 году и получила идентификатор CVE-2009-2260. Тогда, в ответ на критику, доступ к сетевым словарям в StarDict был отключён по умолчанию. Однако в текущей версии этой опции снова вернули прежнее поведение, что вызвало новую волну обеспокоенности со стороны сообщества.
Некоторые комментаторы отмечают, что подобные функции внедряются не разработчиком исходного приложения, а энтузиастами, адаптирующими его для Linux-дистрибутивов. В контексте конфиденциальности также поднимаются вопросы к архитектуре X11, в которой любое приложение может получить доступ к буферу обмена и содержимому экрана других окон. В отличие от этого, Wayland предлагает более строгую модель безопасности, предотвращая подобные риски.
Обсуждение в сообществе также затронуло старую проблему — недостаток внимания к защите данных в некоторых open source-программах и поверхностное отношение к безопасности при включении сетевых функций. Несмотря на то что Debian Testing не предназначен для использования в продакшене, инцидент поднимает важный вопрос о выборе безопасных настроек по умолчанию.
