Уязвимост във flatpak, позволяваща заобикаляне на sandbox-изолацията

В инструментария Flatpak, предназначенном за създаване на самостоятелни пакети, независими от конкретни дистрибуции Linux и изолирани от останалата част на системата, е открита уязвимост (CVE-2024-32462). Уязвимостта позволява на злонамерено или компрометирано приложение, доставяно в пакет flatpak, да заобиколи установения режим на sandbox-изолация и да получи достъп до файлове в основната система. Проблемът се проявява само в пакетите, използващи порталите Freedesktop (xdg-desktop-portal), прилагани за организиране на достъпа до ресурсите на потребителското пространство от изолирани приложения. Уязвимостта е отстранена в коригиращите актуализации flatpak 1.15.8, 1.14.6, 1.12.9 и 1.10.9. Предложен е обходен път за защита също в изданията xdg-desktop-portal 1.16.1 и 1.18.4.

Благодарение на уязвимост, приложението, находяще се в изолирана среда, може да използва интерфейса xdg-desktop-portal за създаване на файл «.desktop» с команда за стартиране на приложението от flatpak, давайки достъп до файловете на основната система. За напускане на изолираната среда се използват манипулации с параметъра «—command», който се прилага за предаване на името на програмата, намираща се вътре в flatpak пакета, която трябва да бъде стартирана в изолирана среда. За конфигуриране на изолираната среда flatpak извиква утилитата bwrap, предавайки ѝ указаното име на програмата. Например, за стартиране на утилитата ls в изолирана среда на пакет може да се използва конструкцията «flatpak run —command=ls org.gnome.gedit», която ще доведе до стартиране на «bwrap ls».

Същността на уязвимостта е, че ако името на програмата започва с символите «—», то ще бъде възприето от утилитата bwrap като собствена опция. Например, стартирането на «flatpak run —command=—bind org.gnome.gedit / /host ls -l /host» ще доведе до изпълнението на «bwrap —bind / /host ls -l /host», т.е. името «—bind» ще бъде обработено не като име на стартираното приложение, а като опция на bwrap.

Уязвимостта се усложнява от това, че D-Bus интерфейсът «org.freedesktop.portal.Background.RequestBackground» позволява на приложението от пакета Flatpak да посочи произволна команда за изпълнение чрез «flatpak run —command», включително такава, която започва с символа «—». Предполагаше се, че предаването на произволни команди не е опасно, тъй като те ще бъдат изпълнени в изолирана среда на пакета. Но не беше взето под внимание, че командите, започващи с «—», ще бъдат обработени като опции от утилитата bwrap. В крайна сметка, интерфейсът xdg-desktop-portal може да бъде използван за създаване на файл «.desktop» с команда, експлоатираща уязвимостта.

Източник: opennet.ru