Подмена переводов в Ubuntu

Инцидент с подстановкой непринятых выражений в инсталлятор Ubuntu 23.10 13.10.2023 08:09 Вскоре после релиза Ubuntu 23.10 пользователи столкнулись с невозможностью загрузить сборки десктоп-редакции дистрибутива, которые были удалены с загрузочных серверов в связи с экстренной заменой установочных образов. Замена была вызвана инцидентом, в результате которого удалось удалить таблицы слов и файлы с переводами сообщений инсталлятора на украинский язык оскорбительные антисемитские выражения и фразы (перевод). Инициаторы подразумевают, каким образом предложенные вредоносные переводы смогли пройти проверку и попасть в финальные установочные сборки Ubuntu. Первая попытка вандализма была совершена 3 недели назад и осталась незамеченной, после чего за три дня до релиза было внесено ещё два изменения. Перед был добавлен через систему Weblate, которая использовалась для координации работы переводчиков в отдельных приложениях, в числе которых был и новый инсталлятор. Разработчики предполагают, что инцидент ограничен только переводами, сопровождаемыми вне Ubuntu Archive. Примерно в 12 ночи (MSK) вредоносные изменения были удалены и принято решение о внеплановой пересборке образов, во время которой установочные сборки Ubuntu Desktop 23.10 и Ubuntu Budgie 23.10, а также ежедневные сборки Ubuntu Desktop, оказались недоступны для загрузки.

На изображении показан скриншот шуточной русскоязычной новости об Ubuntu 23.10, где в установщик якобы попали оскорбительные переводы и вредоносные изменения. Подпись связывает этот абсурдный инцидент с атаками на цепочки поставок: компрометация внешнего сервиса переводов приводит к подмене файлов в официальном дистрибутиве. Мем используют как реакцию на новости о supply chain attacks и доверии к зависимостям. EN: The image shows a screenshot of a humorous Russian-language news article about Ubuntu 23.10, where offensive translations and malicious changes allegedly made it into the installer. The caption links this absurd incident to supply chain attacks: compromising an external translation service leads to files being replaced in an official distribution. The meme is used as a reaction to news about supply chain attacks and trust in dependencies.

• @infosecmemes / 879 2023-10-13