Die Entwickler des GNOME-Projekts haben ein Update der Hilfsanwendung Yelp veröffentlicht, das eine Sicherheitsanfälligkeit behebt, die das Verlassen der Sandbox-Umgebung Flatpak ermöglichte.
Das Problem hing mit der Verarbeitung von externen URIs und den Besonderheiten der Integration von Yelp in die Anwendungstarife zusammen. Beim Öffnen eines speziell präparierten Dokuments konnte ein Angreifer dazu verleitet werden, Befehle außerhalb der Sandbox-Beschränkungen auszuführen und Zugriff auf das Benutzersystem mit den Rechten des aktuellen Benutzers zu erhalten.
Die Sicherheitsanfälligkeit betraf hauptsächlich Szenarien, in denen Yelp innerhalb von Flatpak-Anwendungen verwendet oder als Teil einer Sandbox-Umgebung bereitgestellt wurde. Die Möglichkeit einer Remote-Ausnutzung hing davon ab, ob es einem Angreifer gelang, den Benutzer dazu zu bringen, eine bösartige Hilfe-Datei oder einen Link zu öffnen.
Der Fix ist bereits in neuen Versionen von Yelp enthalten und beginnt, in den Paketen der Distributionen aufzutauchen. Die Entwickler von GNOME haben auch die URI-Prüfungen verstärkt und unsichere Möglichkeiten zur Aktivierung externer Handler eingeschränkt.
Besonders hervorzuheben ist, dass der Vorfall erneut auf die Probleme der Desktop-Integration von Sandbox-Mechanismen unter Linux aufmerksam machte. Trotz der Isolation von Flatpak bleiben Fehler in Desktop-Komponenten und MIME/URI-Handlern eine der Hauptmethoden zum Umgehen der Beschränkungen.
Quelle: linux.org.ru
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish