El equipo de Deepin en Español ha detectado un grave agujero de seguridad en Deepin 20.2.2, que fue liberado el pasado lunes 28 de junio (29 de junio en China). Esta falla ha sido reportada al equipo de desarrollo de Deepin y están trabajando en una solución, aunque no han notificado cuándo publicarán esta solución.

Pero dada la gravedad de la falla hemos tomado la iniciativa de elaborar una solución mientras tanto.

¿EN QUÉ CONSISTE LA FALLA?

Revisando los permisos de los archivos del sistema, detectamos que los archivos del kernel 5.10.36 y 5.12.9, publicados en Deepin 20.2.2, tienen como propietario al usuario de escritorio. Eso permite que cualquier atacante, aún sin acceso al superusuario, pueda modificar los archivos y carpetas del kernel, teniendo la posibilidad desde borrar archivos esenciales para el funcionamiento del kernel y todo el sistema, pasando por reemplazar los archivos por archivos con malware, hasta inyectar código malicioso, obteniendo control completo del sistema.

Además confirmamos que esta falla no solo afecta a los sistemas que actualizan desde versiones anteriores de Deepin, sino que también afecta a las instalaciones desde cero realizadas con la ISO de Deepin 20.2.2.

La causa de este problema es el empaquetamiento inadecuado de los paquetes linux-image-5.10.36-amd64-desktop y linux-image-5.12.9-amd64-desktop que se usan para instalar el kernel.

SOLUCIÓN

La solución que el equipo de Deepin en Español ha escogido, es buscar los archivos del kernel con el usuario de escritorio como propietario, y corregir los permisos al estándar de GNU/Linux, asignado como propietario al usuario y grupo a root, de manera que solo el superusuario pueda modificarlos.

Aplicar esta solución es muy sencillo, simplemente instale desde la Tienda Deepines el paquete «deepines-security-patch». Usando la caja de búsqueda, busque «deepines» y en los resultados podrá seleccionarlo fácilmente para instalarlo.

También puede instalar «deepines-security-patch» desde la terminal ejecutando el siguiente comando.

sudo apt update && sudo apt install deepines-security-patch

Si aún no ha instalado la Tienda Deepines, a continuación facilitamos el botón de descarga.

Descargar “Deepines Store” deepines-store_1.4.0_all.deb – Descargado 85775 veces – 4,36 MB

CONCLUSIONES

Sinceramente esperamos que este tipo de fallas no vuelvan a pasar, es bastante decepcionante que esto haya pasado, Wuhan Deepin Technology debe mejorar sus controles de calidad sustancialmente. 

Es un golpe a la confianza de los usuarios, y aunque Deepin, como empresa privada, regala generosamente su software a la comunidad, permitiéndonos disfrutar de un escritorio y aplicaciones agradables y fáciles de usar de manera gratuita; como comunidad, nuestra contribución es ayudar a mejorar ese software proporcionando retroalimentación y ofreciendo soluciones dentro de nuestras posibilidades, eso incluye indicar las fallas y exigir buena calidad, desde la parte estética hasta la seguridad, pero siempre en el ánimo de construir juntos.