🥇Уязвимост във Flatpak, позволяваща изпълнение на код извън изолираната среда

В публикуваното преди няколко часа коригиращо издание на самостоятелните пакети Flatpak 1.16.4 и в експерименталното издание 1.17.4, е отстранена уязвимост (CVE-2026-34078), която позволява на злонамерено или компрометирано приложение в формат flatpak да заобиколи установения режим на пясъчник, да получи достъп до файлове в основната система и да изпълни произволен код извън режима на изолация. На проблема е присвоен критичен статус (9.3 от 10).

Уязвимостта присъства в D-Bus услугата flatpak-portal, която осигурява стартирането на "портали", използвани за организиране на достъпа до ресурси на основната среда от изолирани приложения. Проблемът е причинен от факта, че услугата flatpak-portal позволява на приложението да указва в опции sandbox-expose файлови пътища, които поради липсата на адекватни проверки могат да бъдат символични линкове, сочещи към произволни части от файловата система.

Преди монтиране услугата разкрива символичния линк и монтира в пясъчната среда пътя, на който сочи, което позволява заобикаляне на изолацията и получаване на достъп за четене и запис до файловете на хост средата. За да се организира изпълнението на свой код в системата, например, може да се добави автозапускаем сценарий, като "~/.bashrc" или "~/.profile", или да се промени файлът "~/.ssh/authorized_keys" с SSH ключовете.

Статусът на отстраняването на уязвимостта в дистрибутивите може да бъде оценен на следните страници (ако страницата не е достъпна, това означава, че разработчиците на дистрибутива все още не са започнали разглеждането на проблема): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Като обходен вариант за защита може да се деактивира услугата flatpak-portal: sudo systemctl —global mask flatpak-portal.service && systemctl —user stop flatpak-portal.service

Освен критичната уязвимост, в новото издание са отстранени още три проблема със сигурността:

Възможност (CVE-2026-34079) за изтриване на произволен файл във файловата система на хост системата. Проблемът е причинен от факта, че flatpak при почистване на остарелия кеш ld.so не проверява действителното присъствие на изтривания файл в кеш директорията.
Възможност за четене на произволни файлове в контекста на system-helper на системи с настроен репозиторий на образи OCI чрез манипулации с символични линкове.
Възможност за намеса в обработката на заявки за анулиране на изтегляне на приложения, което позволява на един потребител да попречи на друг потребител да спре изтеглянето.

Източник: opennet.ru