Ubuntu descubre el 'discurso de odio' en la versión 23.10

Ubuntu, la distribución más popular de Linux, ha retirado su versión de escritorio 23.10 después de que se descubriera que sus traducciones al ucraniano contenían discursos de odio.

Según el proyecto Ubuntu, un colaborador malicioso está detrás de los insultos antisemitas, homofóbicos y xenófobos que se inyectaron en la distribución a través de una "herramienta de terceros" que vive fuera del Archivo Ubuntu.

Traducciones al ucraniano con hilos "insultantes"

Esta semana, Ubuntu retiró su instalador de escritorio 23.10 después de detectar cadenas insultantes enterradas en su lanzamiento ucraniano.

"Hemos identificado el discurso de odio de un colaborador malicioso en algunas de nuestras traducciones enviadas como parte de una herramienta de terceros fuera del Archivo Ubuntu", anunció el proyecto.

"La imagen de Ubuntu 23.10 ha sido eliminada y una nueva versión estará disponible una vez que se hayan restaurado las traducciones correctas".

En su foro de la comunidad, el equipo de Ubuntu explicó además que las traducciones maliciosas al ucraniano fueron enviadas por un colaborador de la comunidad a un "servicio público en línea de terceros" en el que confiaba el instalador de escritorio de Ubuntu para proporcionar soporte de idiomas.


Una solicitud de extracción de GitHub descubierta por los usuarios de Reddit [1, 2] y vista por BleepingComputer eliminó las "cadenas [de localización] insultantes" alrededor del 12 de octubre.

BleepingComputer observó que las cadenas ucranianas crípticas y maliciosas fueron inyectadas por un usuario con el nombre de "Danilo Negrilo" hacia el final del archivo de traducciones, lo que las hacía más difíciles de detectar.

Aunque las traducciones malintencionadas han sido descubiertas en un momento de crecientes tensiones en Oriente Medio, la historia confirma que el sabotaje ocurrió alrededor del 22 de septiembre, antes de que entrara en vigor la guerra entre Israel y Hamas.

Preocupaciones sobre las inyecciones de malware

Dado que el impacto de este incidente se limitó a las traducciones, los usuarios han expresado su preocupación por la posibilidad de malware que podría inyectarse en futuras versiones de Ubuntu a través de dependencias de manera similar.

"Confío en Ubuntu porque es el más utilizado por lo que debería tener el mejor equipo de revisión, pero si esto pasó con las traducciones y nadie lo vio, imagínate con dependencias con malware inyectado", publicó un usuario en X (antes Twitter). "Creo que nadie revisa nada".

"Si esto es cierto, entonces eso significa que no estás probando las versiones beta de tu distro que no están en inglés", dijo otro.

"Las posibilidades de malware de actores de mala fe son enormes. Esto es algo que hay que superar. No eres elementaryOS. Eres una gran empresa y esto no debería suceder".

Sin embargo, vale la pena señalar que revisar las traducciones enviadas en diferentes idiomas, a menos que los propios desarrolladores dominen estos idiomas, es una tarea mucho más desafiante para la que una auditoría de seguridad de código regular puede no estar diseñada.

Además, las dependencias, el código y los componentes de código abierto pueden someterse a un proceso de validación independiente, destinado a frustrar el malware, que el adecuado para las traducciones, lo que hace que incidentes como estos sean más difíciles de descubrir.

Ubuntu ahora ha restaurado sus traducciones al ucraniano "al estado antes de que fuera saboteado", pero está dedicando tiempo adicional a "una auditoría más amplia antes de ponerlo oficialmente a disposición".

Mientras tanto, se recomienda a los usuarios que descarguen Ubuntu Desktop 23.10 desde la página de descargas de Ubuntu utilizando la ISO del instalador heredado que no se ve afectada por el incidente. Alternativamente, los usuarios pueden actualizar desde una versión de Ubutnu previamente compatible.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta