Simon Tatham барив: Linux дээрх Zoom клиент хэрэглэгчийн Clipboard-ийг нууцаар "уншиж" эхэлжээ

Линукс хэрэглэгч хөгжүүлэгчид болон DevOps инженерүүдийн анхааралд: Хэрэв та ажлынхаа Linux орчинд Zoom-ийн ширээний (desktop) клиентийг ашигладаг бол таны хуулсан нууц үг, API токен, эмзэг кодууд Zoom-ийн санах ой руу урсаж байж болзошгүй болжээ.

Алдарт PuTTY SSH клиентийг зохион бүтээгч, нээлттэй эхийн домогт инженер Саймон Тэтам (Simon Tatham) саяхан өөрийн систем дээрээ хийсэн гэнэтийн мөрдлөгөөр уг ноцтой үйлдлийг барьж авсан бөгөөд энэ тухай мэдээлэл Hacker News болон хөгжүүлэгчдийн дунд маш хүчтэй хэлэлцүүлэг өрнүүлээд байна.

Нэгэн өвөрмөц хэрэгслээс эхэлсэн сэжиг

Саймон өдөр тутмын ажилдаа вэб форм олноор бөглөх үед зориулж "one-shot paste" гэх өөрийн бичсэн жижиг utility-г ашигладаг байжээ. Энэхүү скрипт нь санах ойд (clipboard) өгөгдөл хадгалаад, өөр аль нэг програм түүн рүү ганцхан удаа paste request илгээхэд хариу өгмөгцөө автоматаар унтардаг (terminate) логиктой.

Гэтэл системдээ apt update хийж, Zoom-ийн хувилбараа 6.6-аас 7.1.5 болгон ахиулсны дараа хачирхалтай асуудал үүсэв. Саймон санах ойдоо өгөгдөл хуулж амжаад өөрөө хаана ч Ctrl+V дараагүй байтал уг utility шууд өөрөө хаагдаад байжээ. Энэ нь цаана нь ямар нэг аппликейшн уг өгөгдлийг гарч ирмэгц нь түрүүлээд шууд "paste" хийж татаж аваад байна гэсэн үг байв.

Дисплей сервер дээрх протоколын холболтыг debug хийж үзэхэд буруутан нь яах аргагүй арын горимд (background) чимээгүй сууж байсан Zoom клиент болох нь батлагджээ.

X11 ба XFIXES: Үйл явц техникийн хувьд хэрхэн явагдаж байна вэ?

Linux-ийн X11 орчинд санах ой үндсэн хоёр хэлбэртэй байдаг:

PRIMARY: Текстийг хулганаар идэвхжүүлж (select), хулганы дугуй товчлуур дээр даран шууд наах зориулалттай хуучны механизм.
CLIPBOARD: Хэрэглэгчийн гараас зориудаар Ctrl+C хийж, Ctrl+V-ээр буулгадаг, бидний хамгийн сайн мэдэх санах ой.

Саймоны тодорхойлсноор, шинэчлэгдсэн Zoom клиент нь XFIXES нэртэй X11 өргөтгөлийг ашиглаж байна. Систем дээрх дурын цонхноос CLIPBOARD-ийн эзэмшигч шинэчлэгдэх буюу шинэ текст хуулагдах мөчид XFIXES өргөтгөл нь үйл явдлын мэдэгдэл (event notification) цацдаг.

Zoom энэ мэдэгдлийг хүлээн авмагцаа уг өгөгдлийг хуулсан програм руу нэн даруй paste request илгээж, санах ойд орсон бүх мэдээллийг өөртөө татаж уншиж байгаа аж. Хамгийн ноцтой нь Zoom-ийн цонх идэвхтэй (in focus) биш, бүр ард жижигрүүлсэн байхад ч энэ үйл явц тасралтгүй үргэлжилдэг байна.

Хөгжүүлэгчдэд яагаад энэ аюултай вэ?

Орчин үеийн программ хөгжүүлэлтийн өдөр тутмын амьдралд бид санах ойдоо ямар өгөгдлийг хамгийн их хуулдаг вэ?

Password Manager-ийн өгөгдлүүд: Bitwarden, 1Password, KeePass зэрэг менежерүүдээс бид master password эсвэл нэвтрэх нууц үгээ хуулаад 10-30 секундийн дараа автоматаар устдаг тохиргоотой ашигладаг. Гэтэл тэр 10 секундийн дотор Zoom таны нууц үгийг аль хэдийн уншиж авсан байх эрсдэлтэй.
Нууц түлхүүрүүд ба токенууд: AWS Access Key, GitHub Personal Access Token, Stripe/OpenAI API keys, серверийн SSH passphrase зэрэг хамгийн эмзэг түлхүүрүүдийг терминал эсвэл .env файл руу зөөхдөө хуулдаг.
Хувийн кодын хэсгүүд: Байгууллагынхаа хаалттай эхийн логик, хэрэглэгчийн хувийн мэдээлэл (PII) бүхий тест өгөгдлүүд.

Хэдийгээр Zoom энэ өгөгдлийг гадны сервер рүүгээ илгээж байгаа эсэх нь одоогоор бүрэн батлагдаагүй (магадгүй remote-desktop screen sharing эсвэл link-detection зэрэг дутуу боловсруулсан фичерийн алдаа байх магадлалтай) ч, ямар ч эрх олгоогүй арын аппликейшн таны төхөөрөмж дээрх бүх нууц текстийг уншиж байгаа нь кибер аюулгүй байдлын хувьд улаан гэрэл ассан хэрэг юм.

Өнгөрсөн түүх давтагдав уу?

Zoom өмнө нь ч хэрэглэгчийн нууцлал, эрх мэдлийн хязгаарыг хэтрүүлсэн олон дуулианд холбогдож байсан гашуун түүхтэй. Тухайлбал, macOS дээр хэрэглэгчид мэдэгдэлгүйгээр далд local web server ажиллуулж камер нээх боломж бүрдүүлж байсан, мөн дуудлагыг зөвшөөрөлгүйгээр Хятад дахь серверүүдээр дамжуулж байсан зэрэг жишээнүүдийг инженерүүд сануулж байна.

Түүнчлэн Саймон Тэтам яг нэг жилийн өмнө Slack-ийн Linux клиент яг үүнтэй төстэй үйлдэл хийж байсныг барьж байсан бөгөөд ялгаа нь Slack зөвхөн өөрийнх нь цонх идэвхжихэд л санах ойг шалгадаг, мөн тохиргооноос нь унтраах боломжтой байжээ. Харин шинэ Zoom 7.1.5 дээр уг үйлдлийг бүрэн хориглох тодорхой тохиргоо ширээний клиент дотроо байхгүй байна.

Өөрийгөө хэрхэн хамгаалах вэ?

Хэрэв та ажлын хэрэгцээгээр Zoom ашиглахаас өөр аргагүй нөхцөлд байдаг бол дараах арга хэмжээнүүдийг авахыг аюулгүй байдлын шинжээчид зөвлөж байна:

Native Client-ээс бүрэн татгалзаж, Web хувилбар луу шилжих:
Zoom-ийн дуудлагыг Chromium эсвэл Firefox дээр "Join from your browser" горимоор нээх. Хөтөч нь системийн түвшний clipboard-д дур мэдэн хандах эрхийг олгодоггүй.
Wayland руу шилжих:
X11 протокол нь архитектурын хувьд маш эртнийх тул аль ч аппликейшн бие биеийнхээ өгөгдлийг чөлөөтэй чагнах боломжийг олгодог сул талтай. Харин Wayland нь цонхнуудыг хооронд нь тусгаарладаг бөгөөд зөвхөн тухайн цонх идэвхтэй (focused) үед л clipboard өгөгдлийг унших боломж олгох зарчмаар ажилладаг.
Sandbox (Flatpak / Firejail) орчинд тусгаарлах:
Хэрэв клиентийг ажиллуулахаас өөр аргагүй бол Flatpak ашиглан X11 socket хандалтыг хаах эсвэл flatpak override --nofilesystem=host --nosocket=x11 зэрэг нарийн хязгаарлалтуудыг тогтоох.
Тусдаа ажлын төхөөрөмж ашиглах:
Код бичиж, серверийн нууц үгээ удирддаг үндсэн ажлын машинаа видео хурлын аппликейшнуудаас тусад нь байлгах нь өнөө үед байгууллагын аюулгүй байдлын алтан дүрэм болж байна.

Эх сурвалж:

Simon Tatham (Hachyderm.io) — Mastodon Status Update
Hacker News Community — Linux Zoom client proactively reading everything written to X11 clipboard
Daily.dev Security Analysis — Linux Zoom Client Proactively Reads X11 Clipboard