K dispozici jsou opravné aktualizace sady nástrojů pro vytvoření samostatných balíčků Flatpak 1.14.4, 1.12.8, 1.10.8 a 1.15.4, které opravují dvě zranitelnosti:
- CVE-2023-28100 - schopnost kopírovat a nahrazovat text do vstupní vyrovnávací paměti virtuální konzoly pomocí manipulace s ioctl TIOCLINUX při instalaci balíčku flatpak připraveného útočníkem. Tuto chybu zabezpečení lze například použít ke spuštění libovolných příkazů v konzole po dokončení procesu instalace balíčku třetí strany. Problém se objevuje pouze v klasické virtuální konzoli (/dev/tty1, /dev/tty2 atd.) a neovlivňuje relace v xterm, gnome-terminal, Konsole a dalších grafických terminálech. Tato chyba zabezpečení není specifická pro flatpak a lze ji použít k útoku na jiné aplikace, například dříve podobné chyby, které umožňovaly nahrazování znaků prostřednictvím rozhraní TIOCSTI ioctl, byly nalezeny v /bin/sandbox a snap.
- CVE-2023-28101 - Je možné použít escape sekvence v seznamu oprávnění v metadatech balíčku ke skrytí výstupních informací terminálu o požadovaných rozšířených oprávněních během instalace nebo aktualizace balíčku prostřednictvím rozhraní příkazového řádku. Útočníci by tuto chybu zabezpečení mohli zneužít k uvedení uživatelů v omyl ohledně přihlašovacích údajů použitých v balíčku. GUI pro instalaci balíčků Flatpak, jako je GNOME Software a KDE Plasma Discover, nejsou tímto problémem ovlivněny.
Zdroj: opennet.ru