I den just udgivne korrigerende version af selvstændige Flatpak-pakker 1.16.4 samt i den eksperimentelle version 1.17.4 er en sårbarhed (CVE-2026-34078) blevet rettet, som tillader ondsindede eller kompromitterede flapk-apps at omgå den etablerede sandbox-isolering, få adgang til filer i det primære system og udføre vilkårlig kode uden for isolationsmodus. Problemet er blevet vurderet som kritisk (9,3 ud af 10).
Sårbarheden er til stede i D-Bus-tjenesten flatpak-portal, der muliggør lancering af „portaler“, som bruges til at organisere adgang til ressourcerne i det primære miljø fra isolerede applikationer. Problemet skyldes, at flatpak-portal-tjenesten giver applikationen mulighed for at angive filstier i sandbox-expose-optionerne, som på grund af manglende ordentlige kontroller kan være symboliske links, der peger på vilkårlige dele af filsystemet.
Før montering afslører tjenesten det symboliske link og monterer den sti, som det peger på, i sandbox-miljøet, hvilket tillader at omgå isolationen og få adgang til læse- og skrivetilgang til filer i værtens miljø. For at give mulighed for at udføre sin kode i systemet kan man for eksempel tilføje et autostart-script, såsom „~/.bashrc“ eller „~/.profile“, eller ændre filen „~/.ssh/authorized_keys“ med SSH-nøgler.
Status for udbedringen af sårbarheden i distributionerne kan vurderes på disse sider (hvis siden ikke er tilgængelig, betyder det, at distributionens udviklere endnu ikke er begyndt at se på problemet): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Som en midlertidig beskyttelse kan flatpak-portal-tjenesten deaktiveres: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service.
Ud over den kritiske sårbarhed er tre andre sikkerhedsproblemer blevet løst i den nye version:
- Mulighed for (CVE-2026-34079) at slette vilkårlige filer i værtens filsystem. Problemet skyldes, at flatpak ikke kontrollerer den faktiske placering af den slettede fil i cachen under oprydning af forældet ld.so-cache.
- Mulighed for at læse vilkårlige filer i system-helper-konteksten på systemer med et konfigureret OCI-billedrepository gennem manipulation med symboliske links.
- Muligheden for indgriben i behandlingen af anmodninger om at annullere applikationsdownloads, der gør det muligt for én bruger at forhindre en anden bruger i at stoppe en download.
Kilde: opennet.ru
