לקוח הזום ללינוקס החל לקרוא כל דבר שנכתב ללוח של X11, מצא מפתח

מה נמצא

המפתח סיימון טאתם תיעד במאסטודון כי עדכון ללקוח הזום ללינוקס החל לקרוא באופן יזום כל דבר שנכתב ללוח של X11. הפוסט, מ־2 בספטמבר, מזהיר את מי שמחזיק סודות בלוח — בעיקר מי שמנהל הסיסמאות שלו מעביר סיסמאות בדרך זו.

לפי הבהרה שלו, ההתנהגות הופיעה ב־Zoom for Linux 7.1.5; הגרסה 6.6 שהותקנה קודם לא עשתה זאת. הלקוח מתעניין רק בבחירה CLIPBOARD — זו שמשתמשים בה עם מקשי העתקה והדבקה מפורשים — ומתעלם מ־PRIMARY, הבחירה שמשמשת בגישת X11 המסורתית של סימון ולחיצה אמצעית.

איך זה התגלה

נראה שהמנגנון מבוסס על הרחבת XFIXES: ברגע שלקוח חדש תופס בעלות על הלוח, הזום שולח לו מיד בקשת הדבקה. הכלי של טאתם להדבקה חד־פעמית — תופס את הלוח, עונה לבקשה אחת ומסתיים — הפסיק לעבוד אחרי העדכון, משום שהזום פונה אליו מיד.

לדבריו, דבר דומה קרה בשנה שעברה גם בלקוח של סלאק, אך שם רק כשהפוקוס נכנס לחלון, וגם הייתה אפשרות לכבות זאת; הגדרה דומה לזום, בהגדרות הווב, לא עצרה את ההתנהגות. הוא מוסיף שאין לו מקור מצוטט: זה מחקר עצמאי — תוכנה שקיבלה בקשת בחירה לא צפויה, והוא חקר אותה.

תגובות ומגבלות

בשרשור שחזרו משתמשים את האפקט עם הכלי התקני xclip, דנו ברעיון של ״חומת אש ללוח״, ודיווחו שפנייה לתמיכת זום, שהוגשה על ידי מקום העבודה של אחד המגיבים, אושרה כבעיית אבטחה — ואז השתררה דממה.

טאתם סקפטי לגבי פתרונות נקיים: בפרוטוקול ההדבקה של X11 המבקש מזוהה לפי מזהה חלון ולא לפי תוכנה, ובקשת ההדבקה עשויה להגיע מחלון משני בעל שם כללי — הוא זיהה אותו רק בכך שהרג אותו וראה איזו תוכנה נעלמה. ומאחר שאפשר לזייף מאפייני חלון, הגנה כזו תעבוד רק נגד תוכנות מרושלות, לא נגד לקוח זדוני במכוון. ויילנד היה מונע את ההתנהגות, הוא מסכים, אך שובר כלי הדבקה משורת הפקודה כמו xclip -o. דבר בשרשור אינו מרמז שתוכן הלוח נשלח לאנשהו; שאלה זו טרם הוכרעה.