StarDict transmet le presse-papiers X11 à des serveurs distants

• Une grave faille de sécurité a été découverte : StarDict envoie, dans un environnement X11, le texte sélectionné par l’utilisateur à des serveurs externes via HTTP non chiffré
• Le problème survient parce que les plugins YouDao et dict.cn sont activés par défaut dans la configuration Debian
• Cela signifie que dès qu’un utilisateur sélectionne du texte, celui-ci est automatiquement envoyé au serveur, avec un risque de fuite d’informations sensibles
• Le responsable du paquet a examiné des propositions de désactivation de la fonctionnalité et de séparation des plugins, mais l’application d’une solution de fond reste insuffisante
• Le problème avait déjà été signalé à plusieurs reprises par le passé, ce qui remet en lumière l’absence de réponse complète et l’importance de la vigilance en matière de sécurité

---

Fonctionnement de StarDict et aperçu du problème de sécurité

• StarDict est un logiciel de dictionnaire multiplateforme sous licence GPLv3, avec la prise en charge de nombreuses langues et un écosystème de plugins
• Dans la configuration par défaut de Debian, lorsque StarDict est lancé, le texte sélectionné par l’utilisateur est transmis à deux serveurs distants, youdao.com et dict.cn, via HTTP non chiffré
• Le problème a aussi été signalé sur la mailing list oss-security et dans le bug tracker de Debian

Détails du problème

• Dans la conception de StarDict, la présence de code communiquant avec des sites de dictionnaire peut sembler naturelle, mais la fonctionnalité de "scan" est activée par défaut
  • Cela signifie que lorsque l’utilisateur sélectionne du texte avec la souris, une fenêtre de traduction s’ouvre automatiquement et le texte est envoyé automatiquement à des serveurs externes
  • Le problème devient grave lorsque l’utilisateur laisse StarDict tourner en permanence en arrière-plan

Différences selon l’environnement Linux

• Dans un environnement Wayland, StarDict ne peut pas capturer le texte d’autres applications ; la fonction de scan ne fonctionne donc pas et le problème de sécurité ne se produit pas
• Ce problème n’existe actuellement que dans les anciens environnements X11

Réaction de Debian et des développeurs de StarDict

• Le responsable du paquet Debian, Xiao Sheng Wen, a indiqué que "la fonction de scan et le plugin YouDao peuvent être désactivés", sans considérer cela comme un problème majeur
• Cependant, le rapporteur Vincent Lefevre a souligné que "les fonctionnalités liées à la vie privée doivent impérativement être désactivées par défaut"
• Il est possible d’informer sur cette fonctionnalité via la description du paquet, mais la description de stardict-plugin ne mentionne pas l’usage de dictionnaires en ligne
• Des pistes d’amélioration, comme la séparation des plugins, ont été proposées, mais aucune mesure immédiate n’a été prise

Entre praticité et inquiétudes de sécurité

• La fonction de scan constitue l’un des principaux atouts de StarDict pour ceux qui veulent consulter rapidement un dictionnaire pendant la lecture d’une langue étrangère
• Mais l’utilisateur a peu de chances d’imaginer que cette communication n’est pas chiffrée. N’importe qui sur le trajet réseau peut alors être exposé à du texte sensible

Incidents similaires passés et réponses apportées

• Des cas similaires avaient déjà été signalés en 2009 et en 2015
  • En 2009 : la désactivation des dictionnaires réseau avait brièvement été définie par défaut
  • Mais le plugin YouDao, ajouté en 2016, ignorait ce réglage
  • Le problème de 2015 n’a été résolu qu’en 2025, sous la forme d’une suppression du plugin
• Cela montre une réapparition du problème et une lenteur de réaction, sur fond de changements de mainteneurs et de mauvaise hiérarchisation des priorités

Taille de la base d’utilisateurs et impact sur la sécurité

• Selon les statistiques Debian, seuls 178 utilisateurs environ ont actuellement StarDict installé, mais en tenant compte des systèmes ne participant pas aux statistiques, de nombreux utilisateurs ont pu être exposés pendant des années à un risque de fuite de texte
• Des éléments comme des mots de passe copiés, des e-mails sensibles ou du texte sélectionné lors de l’édition de documents ont potentiellement pu être exposés tels quels à l’extérieur

Écosystème open source et enjeux de sécurité

• Une grande distribution comme Debian gère d’innombrables paquets, et les mises à jour manquées ainsi que le vieillissement des logiciels y sont fréquents
• Même la loi de Linus — « avec suffisamment d’yeux, tous les bugs sont superficiels » — ne fonctionne en pratique que si quelqu’un découvre le bug, le signale, puis qu’un mainteneur reconnaît le problème et le corrige

Le passage de X11 à Wayland

• L’adoption de Wayland vise justement à réduire ce type de faille de sécurité, en particulier la possibilité même de fuites d’informations entre applications
• Cela laisse toutefois en suspens des contraintes fonctionnelles et de nouvelles méthodes de gestion des autorisations

Conclusion et enseignements

• Le fait que des problèmes de sécurité découverts, diagnostiqués et signalés restent encore non résolus ou réapparaissent est préoccupant
• Pour préserver la réputation de Linux en matière de sécurité, une prise de conscience continue et une réaction rapide de la part des développeurs open source, des mainteneurs de paquets et des utilisateurs sont indispensables

[GN⁺]

Commentaires Hacker News

• Comme Xiao l’a souligné, les utilisateurs qui installent un logiciel peuvent lire la description du paquet, et la fonction de scan y est effectivement mentionnée. Mais quand les mainteneurs Debian répondent souvent aux rapports de bug par quelque chose du genre « il faut lire attentivement toutes les descriptions de paquets, y compris les centaines installés comme dépendances », franchement, si on avait commencé à lire toutes les descriptions et tous les README de Trixie il y a quelques jours à sa sortie, on n’aurait probablement toujours pas fini

  • « Les plans et l’ordre de démolition étaient affichés depuis cinquante de vos années terrestres dans notre bureau local d’Alpha du Centaure. Si vous ne vous intéressez pas aux affaires locales… » donne exactement cette impression lien vidéo YouTube
  • Quand on obtient ce genre de réponse, j’ai du mal à y voir autre chose qu’une intention malveillante
  • Si j’installe un programme depuis les dépôts Debian, c’est pour la commodité et la confiance. J’ai déjà souvent des reproches quand les mainteneurs changent le comportement d’un paquet, mais ici il aurait été bien mieux que l’envoi du contenu du presse-papiers à des tiers soit opt-in, c’est-à-dire activé explicitement. C’est une trahison de la confiance
  • Je suis d’accord avec l’idée qu’il est difficile de lire toutes les descriptions de paquets et tous les README au moment de la sortie de Trixie. Quand j’ai commencé à utiliser Debian à la fin des années 1990 et au début des années 2000, on pouvait choisir les paquets voulus avec dselect puis passer quelques heures à ajuster toutes les options à son matériel réel. À l’époque, ce n’était pas aussi dynamique qu’aujourd’hui, donc il fallait tout sélectionner à la main. Maintenant, il y a bien trop de paquets, et la configuration du noyau est devenue beaucoup trop vaste pour qu’on puisse tout vérifier de façon réaliste (il y a encore des gens qui utilisent dselect… ?)
  • Je suis d’accord avec toi. Surtout que ce mainteneur a déjà introduit à plusieurs reprises des comportements inattendus, comme dans cet ancien problème, où il modifiait même les fichiers de configuration d’autres paquets. Ce genre de chose devrait être retiré du dépôt

• Bien sûr, on peut penser qu’un logiciel de dictionnaire contient du code pour communiquer avec des sites web. Mais si j’installe un dictionnaire avec apt-get, je peux m’attendre à avoir l’intégralité du dictionnaire sur ma machine. Après tout, on utilise bien des dictionnaires papier depuis des siècles… Stardict est orienté en ligne, donc c’est peut-être normal, mais ça donne quand même une impression de piège

  • Je pense que c’est un décalage générationnel. Ceux pour qui il est normal qu’une appli communique avec Internet sont une génération plus jeune, moins habituée aux logiciels installés en local qui ne parlent pas à l’extérieur. Même en regardant le parcours du développeur, on voit qu’il s’y connaît très bien en informatique et qu’il sait parfaitement qu’un dictionnaire hors ligne est possible, mais il semble suivre ce qui paraît « naturel » pour sa génération. Le fait que, dans le monde actuel, les applications installées localement et fonctionnant uniquement avec des données hors ligne soient devenues une sorte d’idéal chevaleresque maintenu par une poignée de Don Quichotte de l’IT est assez triste
  • Même si c’était normal, utiliser du HTTP non chiffré serait totalement inacceptable
  • L’ancien programme ding gère très bien les dictionnaires locaux. Il est aussi présent dans Debian lien vers ding
  • C’est aussi ce qui m’a frappé. C’est triste de vivre dans un monde où même une fonction aussi simple est attendue comme un service live
  • À un moment, j’ai commencé à lancer les applis GUI sans accès réseau. D’abord avec firejail, puis bubblewrap, puis au fil du temps avec des scripts bash que j’ai écrits pour exécuter les applis dans un environnement sandboxé. Je fais ça depuis bien avant flatpak

• J’ai été assez choqué de découvrir que sur les téléphones Samsung, toutes les données du presse-papiers sont partagées entre tous les appareils liés à mon compte Samsung, y compris les mots de passe, et qu’un historique est même conservé. Je ne me souviens plus si c’était activé par défaut ou si j’ai accepté ça par inadvertance. J’imagine que ces données transitent par les serveurs Samsung. J’ai désactivé le partage, mais l’historique du presse-papiers, lui, ne se désactive pas, et même si je change de clavier, dès que je repasse au clavier Samsung, tous les anciens contenus du presse-papiers sont encore là. Mon prochain téléphone ne sera probablement pas un Samsung

  • Il me semble que c’est pareil sur les téléviseurs Samsung, avec le partage de l’historique de visionnage et d’informations personnelles avec des sociétés de marketing. La politique de confidentialité Samsung est la même pour les téléphones comme pour les téléviseurs
  • J’ai vu des mots de passe copiés depuis Linux via KDE Connect apparaître dans l’historique du presse-papiers Android. Je me demande s’il existe un moyen d’empêcher uniquement les mots de passe d’y être copiés, sans désactiver complètement le partage du presse-papiers
  • Quand on utilise un appareil Samsung, je recommande de ne jamais créer de compte Samsung ni s’y connecter. Ça réduit énormément les occasions pour l’entreprise d’accéder à vos données

• Je trouve qu’il y a un peu de confusion dans ce qui est dit sur Wayland. Le dernier résumé est exact : « StarDict a peut-être demandé des permissions spéciales pour fonctionner sous Wayland, et l’utilisateur les a probablement acceptées par défaut, comme il le ferait aujourd’hui. » Donc oui, c’est très probable, et ces permissions ont peut-être même été définies automatiquement à l’installation. Des logiciels malveillants, il y en aura toujours. Wayland peut bloquer certains types d’attaques, mais il ne protège pas d’un paquet installé comme partie intégrante de la distribution

  • Ce n’est pas une confusion : sur cet aspect précis, Wayland est clairement meilleur que Xorg. Mais le fond du problème est plus structurel. Par exemple, les données transmises n’étaient même pas chiffrées. Avec StarDict sur X11, dans la configuration Debian par défaut, le texte sélectionné par l’utilisateur est envoyé en HTTP vers deux serveurs distants. Même en ayant lu attentivement la description du paquet ou le plugin YouDao, on s’attendrait au minimum à ce que la communication soit chiffrée. En réalité, les données sont envoyées en HTTP non sécurisé aux serveurs dict.youdao.com et dict.cn, ce qui permet à n’importe qui sur le trajet de voir le contenu des requêtes

• Interroger un dictionnaire local à partir du presse-papiers, aucun problème. Ajouter une fonction de requête vers un dictionnaire distant, aucun problème non plus. Rendre ces deux fonctions faciles à combiner, avec un drapeau spécial ou quelque chose du genre pour les séparer, ce serait acceptable. Mais les mélanger dans la configuration par défaut, c’est presque malveillant

  • Le youdao mentionné ici est un service de traduction. La traduction hors ligne est très inférieure à la traduction en ligne, donc je n’utiliserais quelque chose comme un paquet de traduction hors ligne de Google en local qu’en l’absence de données. Je n’utilise pas Stardict, mais si on veut plus qu’une simple définition de mot, ce comportement est tout à fait prévisible. Au final, tout le sujet de cet article est : « un programme de traduction chinois envoyait les données du presse-papiers à son site et à un service de traduction chinois, et les envoyait en HTTP sans chiffrement »

• À propos de « bien sûr qu’un programme de dictionnaire contient du code relié à des sites web », je dirais qu’en pratique cela dépend de l’objectif. La version minimale du dictionnaire finnois que je fournis (tsk) pèse environ 30 Mo et contient environ 250 000 mots, avec le dictionnaire directement embarqué dans le binaire, et reconstruit les recherches par préfixe à chaque exécution. En revanche, une énorme base de données incluant la lemmatisation, l’étymologie, etc., peut monter à plusieurs dizaines de gigaoctets. Mon but était une exploration totalement instantanée, au niveau de la saisie clavier, donc cette structure était nécessaire. Cela m’a demandé beaucoup d’efforts, au point que j’ai décidé de faire payer les versions suivantes tsk Github site de la version payante (actuellement hors ligne à cause d’un problème de signature de code sous Windows). Pour la plupart des autres usages, interroger un serveur est bien plus pratique. Il y a rarement une bonne raison de télécharger un dictionnaire géant en entier, donc une architecture hybride (par exemple mettre en cache localement les 10 000 mots les plus fréquents et interroger le serveur pour les mots rares) est tout à fait raisonnable

• En voyant ça, il y a tellement d’éléments qu’il est difficile de ne pas conclure à une intention malveillante. Le mainteneur a répondu : « l’utilisateur a activé lui-même la fonction de “scan”, et sélectionner du texte déclenche la traduction... pourquoi sélectionner des données confidentielles comme requête de traduction ? »

  • Peut-être que le mainteneur n’arrive pas à reconnaître qu’il y a des secrets dans une langue étrangère... par exemple quand c’est écrit « 秘密 ». « Chef, l’ennemi semble rencontrer des erreurs sur son serveur de traduction ! »

• Je respecte énormément le travail investi dans Debian, mais j’ai toujours détesté ce « maximalisme » des gestionnaires de paquets. Par exemple, on veut installer foo, et il installe aussi tous les logiciels liés possibles, puis démarre immédiatement tout démon réseau s’il y en a un. Je sais bien qu’il existe un drapeau pour empêcher l’installation des « paquets recommandés », mais j’ai toujours trouvé que le choix par défaut desservait l’utilisateur

  • Je vais contredire poliment cela. Les « Recommends » servent à étendre les fonctionnalités principales du paquet installé. Le paquet ne sera pas cassé sans eux, mais des fonctions importantes seront désactivées. Le paquet mentionné ici aurait dû être classé en « Suggests », pas en « Recommends ». Les « Suggests » ne sont pas installés par défaut. Avec apt ou aptitude, un aperçu de l’installation est fourni et l’utilisateur peut choisir. Il y a une tension entre minimalisme et commodité pour l’utilisateur. Lors de la sortie de Debian 13, certains ont même affirmé que « Debian n’est absolument pas une distribution conviviale ». Personnellement, je préfère une distribution « stable, simple et conviviale » à une approche « IKEA pour bricoleurs du bricolage ». Et les utilisateurs avancés peuvent toujours modifier ça s’ils le souhaitent. Si un changement de valeur par défaut est nécessaire, il peut se faire dans /etc/apt/conf.d/, ou ponctuellement avec --no-install-recommends
  • C’est un dilemme classique entre commodité et sécurité. Le choix par défaut de Debian pour les « Recommends » a été conçu à une époque où le réseau n’était pas une constante et où la fonctionnalité locale comptait davantage que les frontières de sécurité
  • À l’origine, la valeur par défaut de APT::Install-Recommends était false, puis elle est passée à true avec Debian 6.0 Squeeze (2011-02-06). À l’époque, je n’aimais pas voir Debian et Ubuntu installer beaucoup de paquets inutiles. Avec le recul, je pense que la distinction entre recommandations et suggestions était parfois floue, et qu’il était sans doute préférable d’installer les « Recommends » par défaut tout en laissant à l’utilisateur la possibilité de les refuser. Cela dit, sur les systèmes que j’administre moi-même, je désactive toujours l’installation automatique des paquets recommandés
  • Le fait que --install-recommends soit le comportement par défaut ne me dérange pas. La nuance entre Recommends = « la plupart d’entre nous veulent ça » et Suggests = « fonctionnalité de niche » n’est pas mauvaise. En revanche, je trouve aussi problématique que des mainteneurs individuels abusent du champ Recommends. Par exemple, quand l’installation d’un outil de compression entraîne celle d’un système d’init spécifique, ça n’a aucun sens (je regarde file-roller et l’équipe GNOME)
  • À l’inverse, ce n’est pas idéal non plus quand une fonction nécessaire devient une option opt-in au point d’être oubliée. Le vrai problème n’est pas tant l’installation des paquets « recommandés » que le fait que les recommandations elles-mêmes devraient être plus conservatrices. D’ailleurs, Debian distingue déjà recommended et suggested pour séparer ce qui est quasi nécessaire de ce qui est optionnel

• Je ne comprends pas pourquoi tout ça n’est pas hors ligne. Un dictionnaire chinois complet contient moins de 400 000 mots, et même en comptant 1 ko par mot, 400 Mo suffiraient. C’est parfaitement faisable en local, donc dépendre d’une connexion réseau relève simplement d’une mauvaise conception

  • Il faudrait alors déjà disposer d’un dictionnaire sous copyleft

• Ce genre de problème me met extrêmement en colère. C’est absolument inacceptable

  • Je veux juste te dire que tu n’es pas seul. Il faudrait presque quelque chose d’assez marquant pour réveiller les esprits, comme quand on a jeté une tarte à Bill Gates.