Korrigerende opdateringer til værktøjssættet er tilgængelige for at skabe selvstændige Flatpak-pakker 1.14.4, 1.12.8, 1.10.8 og 1.15.4, som løser to sårbarheder:
- CVE-2023-28100 - evnen til at kopiere og erstatte tekst i den virtuelle konsol-inputbuffer gennem manipulation af TIOCLINUX ioctl, når du installerer en flatpak-pakke, der er udarbejdet af en angriber. For eksempel kan sårbarheden bruges til at starte vilkårlige kommandoer i konsollen, efter at installationsprocessen af en tredjepartspakke er fuldført. Problemet dukker kun op i den klassiske virtuelle konsol (/dev/tty1, /dev/tty2 osv.) og påvirker ikke sessioner i xterm, gnome-terminal, Konsole og andre grafiske terminaler. Sårbarheden er ikke specifik for flatpak og kan bruges til at angribe andre applikationer, for eksempel blev tidligere lignende sårbarheder, der tillod tegnsubstitution gennem TIOCSTI ioctl-grænsefladen, fundet i /bin/sandbox og snap.
- CVE-2023-28101 - Det er muligt at bruge escape-sekvenser i en liste over tilladelser i pakkemetadata til at skjule terminaloutputoplysninger om anmodede udvidede tilladelser under installation eller opdatering af en pakke via kommandolinjegrænsefladen. Angribere kan udnytte denne sårbarhed til at vildlede brugere om de legitimationsoplysninger, der bruges i pakken. GUI'er til installation af Flatpak-pakker, såsom GNOME-software og KDE Plasma Discover, påvirkes ikke af dette problem.
Kilde: opennet.ru