- Une grave faille de sécurité a été découverte : StarDict envoie, dans un environnement X11, le texte sélectionné par l’utilisateur à des serveurs externes via HTTP non chiffré
- Le problème survient parce que les plugins YouDao et dict.cn sont activés par défaut dans la configuration Debian
- Cela signifie que dès qu’un utilisateur sélectionne du texte, celui-ci est automatiquement envoyé au serveur, avec un risque de fuite d’informations sensibles
- Le responsable du paquet a examiné des propositions de désactivation de la fonctionnalité et de séparation des plugins, mais l’application d’une solution de fond reste insuffisante
- Le problème avait déjà été signalé à plusieurs reprises par le passé, ce qui remet en lumière l’absence de réponse complète et l’importance de la vigilance en matière de sécurité
Fonctionnement de StarDict et aperçu du problème de sécurité
- StarDict est un logiciel de dictionnaire multiplateforme sous licence GPLv3, avec la prise en charge de nombreuses langues et un écosystème de plugins
- Dans la configuration par défaut de Debian, lorsque StarDict est lancé, le texte sélectionné par l’utilisateur est transmis à deux serveurs distants, youdao.com et dict.cn, via HTTP non chiffré
- Le problème a aussi été signalé sur la mailing list oss-security et dans le bug tracker de Debian
Détails du problème
- Dans la conception de StarDict, la présence de code communiquant avec des sites de dictionnaire peut sembler naturelle, mais la fonctionnalité de "scan" est activée par défaut
- Cela signifie que lorsque l’utilisateur sélectionne du texte avec la souris, une fenêtre de traduction s’ouvre automatiquement et le texte est envoyé automatiquement à des serveurs externes
- Le problème devient grave lorsque l’utilisateur laisse StarDict tourner en permanence en arrière-plan
Différences selon l’environnement Linux
- Dans un environnement Wayland, StarDict ne peut pas capturer le texte d’autres applications ; la fonction de scan ne fonctionne donc pas et le problème de sécurité ne se produit pas
- Ce problème n’existe actuellement que dans les anciens environnements X11
Réaction de Debian et des développeurs de StarDict
- Le responsable du paquet Debian, Xiao Sheng Wen, a indiqué que
"la fonction de scan et le plugin YouDao peuvent être désactivés", sans considérer cela comme un problème majeur
- Cependant, le rapporteur Vincent Lefevre a souligné que "les fonctionnalités liées à la vie privée doivent impérativement être désactivées par défaut"
- Il est possible d’informer sur cette fonctionnalité via la description du paquet, mais la description de stardict-plugin ne mentionne pas l’usage de dictionnaires en ligne
- Des pistes d’amélioration, comme la séparation des plugins, ont été proposées, mais aucune mesure immédiate n’a été prise
Entre praticité et inquiétudes de sécurité
- La fonction de scan constitue l’un des principaux atouts de StarDict pour ceux qui veulent consulter rapidement un dictionnaire pendant la lecture d’une langue étrangère
- Mais l’utilisateur a peu de chances d’imaginer que cette communication n’est pas chiffrée. N’importe qui sur le trajet réseau peut alors être exposé à du texte sensible
Incidents similaires passés et réponses apportées
- Des cas similaires avaient déjà été signalés en 2009 et en 2015
- En 2009 : la désactivation des dictionnaires réseau avait brièvement été définie par défaut
- Mais le plugin YouDao, ajouté en 2016, ignorait ce réglage
- Le problème de 2015 n’a été résolu qu’en 2025, sous la forme d’une suppression du plugin
- Cela montre une réapparition du problème et une lenteur de réaction, sur fond de changements de mainteneurs et de mauvaise hiérarchisation des priorités
Taille de la base d’utilisateurs et impact sur la sécurité
- Selon les statistiques Debian, seuls 178 utilisateurs environ ont actuellement StarDict installé, mais en tenant compte des systèmes ne participant pas aux statistiques, de nombreux utilisateurs ont pu être exposés pendant des années à un risque de fuite de texte
- Des éléments comme des mots de passe copiés, des e-mails sensibles ou du texte sélectionné lors de l’édition de documents ont potentiellement pu être exposés tels quels à l’extérieur
Écosystème open source et enjeux de sécurité
- Une grande distribution comme Debian gère d’innombrables paquets, et les mises à jour manquées ainsi que le vieillissement des logiciels y sont fréquents
- Même la loi de Linus — « avec suffisamment d’yeux, tous les bugs sont superficiels » — ne fonctionne en pratique que si quelqu’un découvre le bug, le signale, puis qu’un mainteneur reconnaît le problème et le corrige
Le passage de X11 à Wayland
- L’adoption de Wayland vise justement à réduire ce type de faille de sécurité, en particulier la possibilité même de fuites d’informations entre applications
- Cela laisse toutefois en suspens des contraintes fonctionnelles et de nouvelles méthodes de gestion des autorisations
Conclusion et enseignements
- Le fait que des problèmes de sécurité découverts, diagnostiqués et signalés restent encore non résolus ou réapparaissent est préoccupant
- Pour préserver la réputation de Linux en matière de sécurité, une prise de conscience continue et une réaction rapide de la part des développeurs open source, des mainteneurs de paquets et des utilisateurs sont indispensables
Aucun commentaire pour le moment.