Duas crianças que brincavam no computador do pai, encontraram uma vulnerabilidade no protetor de tela do Linux Mint, no final de dezembro de 2020. De acordo com o pai, que relatou o caso em um fórum do GitHub, a vulnerabilidade permitia burlar a necessidade de senha ao tentar acessar o computador, depois do protetor de tela. A vulnerabilidade foi corrigida pelos desenvolvedores.
- DuckDuckGo cresce 62% em 2020 e bate recorde de buscas em 2021
- Novo malware, novas vítimas, novos investimentos: atualizações do caso SolarWinds
- Funcionários do Google criam sindicato nos EUA, mas... E no Brasil, como fica?
Sistemas operacionais baseados em Linux são conhecidos por serem mais seguros, principalmente por serem open source, ou seja, com o código fonte aberto para qualquer um que queira checar sua integridade ou funcionamento. Além disso, são atualizados com frequência e em alguns casos, já são desenvolvidos com segurança em mente.
No entanto, “algumas semanas atrás, meus filhos queriam hackear meu desktop Linux, então eles digitaram e clicaram em todos os lugares, enquanto eu estava parado atrás, olhando eles brincarem”.
Quando as crianças conseguiram burlar o protetor de tela, o pai, identificado apenas como “robo2bobo” no GitHub, não acreditou no que tinha acabado de ver. “Achei que era um incidente único, mas eles conseguiram fazer uma segunda vez [...] Vi o bloqueio de tela travar duas vezes com meus próprios olhos, então é bem real”, escreve.
“Tentei recriar o travamento sozinho, sem sucesso, talvez porque exigisse mais de 4 mãozinhas digitando e usando o mouse no teclado virtual”.
O pai explica que depois que a área de trabalho é desbloqueada, não é possível bloqueá-la novamente. “O processo de proteção de tela fica praticamente morto e exige que eu abra um shell e execute o 'cinnamon-screensaver' manualmente para fazê-lo funcionar”, explica.
Para explorar essa vulnerabilidade, era necessário ter em mãos um computador rodando Linux Mint com interface de usuário Cinnamon, travar o sistema, clicar no teclado virtual e digitar nele ao mesmo tempo que digita no teclado tradicional, o máximo de teclas possíveis.
Correção
Clement Lefebvre, responsável pelo Linux Mint, confirmou que a vulnerabilidade existia em um processo chamado libcaribou. O problema foi corrigido com o lançamento dos patchs Mint 19.x e Mint 20.xe publicados nesta quarta-feira (13).
“Em todas as versões do Cinnamon, o teclado na tela (iniciado a partir do menu) é executado dentro do processo Cinnamon e usa libcaribou, pressionar ē trava o sistema. Nas versões do Cinnamon 4.2 e superiores, há um OSK [on-screen keyboard] libcaribou no protetor de tela, pressionar ē trava o protetor de tela”, explica o desenvolvedor do sistema.
O desenvolvedor explica que a equipe está trabalhando para adicionar a possibilidade de ligar ou desligar o teclado na tela, o que poderia evitar futuras vulnerabilidades desse tipo.
