Уязвимост в Flatpak, позволяваща изпълнение на код извън изолираната среда

В публикуваното преди няколко часа коригиращо издание на системата за самостоятелни пакети Flatpak 1.16.4, както и в експерименталното издание 1.17.4, е отстранена уязвимост (CVE-2026-34078), позволяваща на злонамерено или компрометирано приложение с формат flatpak да заобиколи установения режим на sandbox-изолация, да получи достъп до файлове в основната система и да изпълни произволен код извън режима на изолация. Проблемът е класифициран с критичен ниво на опасност (9.3 от 10).

Уязвимостта присъства в D-Bus услугата flatpak-portal, която осигурява стартиране на «портали», използвани за организиране на достъп до ресурсите на основната среда от изолирани приложения. Проблемът е причинен от това, че услугата flatpak-portal позволява на приложението да указва в опцията sandbox-expose файлови пътища, които поради липса на подходяща проверка могат да бъдат символични линкове, указващи на произволни части от файловата система.

Преди монтирането услугата разкрива символичния линк и монтира в sandbox-средата пътя, на който той указва, което позволява заобикаляне на изолацията и получаване на достъп за четене и запис на файлове в хост-средата. За организиране на изпълнението на собствен код в системата например, може да се добави автоматизирана скриптова команда, такава като «~/.bashrc» или «~/.profile», или да се промени файлът «~/.ssh/authorized_keys» с SSH ключове.

Статуса на отстраняване на уязвимостта в дистрибуциите може да се оцени на данните страниците (ако страницата не е налична, значи разработчиците на дистрибуцията все още не са започнали разглеждането на проблема): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Като обходна защита може да се деактивира услугата flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service

Освен критичната уязвимост, в новото издание са отстранени още три проблеми с безопасността:

• Възможност (CVE-2026-34079) за изтриване на произволен файл в файловата система на хост-системата. Проблемът е причинен от това, че flatpak при почистване на остарелия кеш ld.so, не проверява фактическото местоположение на изтривания файл в кеш директорията.
• Възможност за четене на произволни файлове в контекста на system-helper на системи с конфигуриран репозиториум за образи OCI чрез манипулации със символични линкове.
• Възможност за намеса в обработката на исканията за отмяна на зареждането на приложения, позволяваща на един потребител да попречи на друг потребител да спре зареждането.

Източник: opennet.ru