Ve vydané zprávě o opravě systému samostatných balíků Flatpak 1.16.4 a také ve zkušební verzi 1.17.4 byla odstraněna zranitelnost (CVE-2026-34078), která umožňuje škodlivé nebo kompromitované aplikaci ve formátu flatpak obejít nastavený režim sandboxové izolace, získat přístup k souborům v základním systému a vykonat libovolný kód mimo izolovaný mód. Problém byl klasifikován jako kritický (9.3 z 10).
Zranitelnost se nachází ve službě D-Bus flatpak-portal, která zajišťuje spuštění „portálů“, které se používají pro organizaci přístupu k prostředkům základního prostředí z izolovaných aplikací. Problém vyplývá z toho, že služba flatpak-portal umožňuje aplikaci uvést v možnostech sandbox-expose cesty k souborům, které kvůli nedostatečným kontrolám mohou být symbolickými odkazy ukazujícími na libovolné části FS.
Před montováním služba odhalí symbolický odkaz a montuje do sandboxového prostředí cestu, na kterou ukazuje, což umožňuje obejít izolaci a získat přístup pro čtení a zápis k souborům hostitelského prostředí. Pro spuštění vlastního kódu v systému lze například přidat spouštěcí skript, jako je „~/.bashrc“ nebo ~/.profile, nebo změnit soubor ~/.ssh/authorized_keys s SSH klíči.
Stav odstranění zranitelnosti v distribucích si můžete ověřit na těchto stránkách (pokud je stránka nedostupná, znamená to, že vývojáři distribuce se dosud nezačali řešením problému věnovat): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Jako obrané opatření můžete vypnout službu flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Kromě kritické zranitelnosti byla v nové verzi odstraněna ještě další tři bezpečnostní problémy:
- Možnost (CVE-2026-34079) odstranění libovolného souboru v souborovém systému hostitelského systému. Problém vyplývá z toho, že flatpak při čištění zastaralé mezipaměti ld.so neoveruje skutečné umístění mazáného souboru v adresáři s mezipamětí.
- Možnost čtení libovolných souborů v kontextu system-helper na systémech s nastaveným repozitářem obrazů OCI prostřednictvím manipulace se symbolickými odkazy.
- Možnost zasahovat do zpracování žádostí o zrušení stahování aplikací, což umožňuje jednomu uživateli zabránit druhému uživateli zastavit stahování.
Zdroj: opennet.ru
