Eine Schwachstelle in flatpak, die eine Umgehung der Sandbox-Isolation ermöglicht.

Im Flatpak-Toolkit, das zur Erstellung von unabhängigen Paketen dient, die nicht an bestimmte Linux-Distributionen gebunden sind und von der restlichen Systemumgebung isoliert werden, wurde eine Schwachstelle (CVE-2024-32462) entdeckt. Diese Schwachstelle ermöglicht es einer bösartigen oder kompromittierten Anwendung, die in einem Flatpak-Paket geliefert wird, die festgelegte Sandbox-Isolation zu umgehen und auf Dateien im Hauptsystem zuzugreifen. Das Problem tritt nur in Paketen auf, die die Freedesktop-Portale (xdg-desktop-portal) verwenden, die den Zugriff auf Ressourcen der Benutzerumgebung aus isolierten Anwendungen organisieren. Die Schwachstelle wurde in den Korrekturen für Flatpak-Versionen 1.15.8, 1.14.6, 1.12.9 und 1.10.9 behoben. Ein Workaround zum Schutz ist ebenfalls in den Versionen xdg-desktop-portal 1.16.1 und 1.18.4 vorgeschlagen.

Durch die Schwachstelle kann eine in der isolierten Umgebung befindliche Anwendung die xdg-desktop-portal-Schnittstelle verwenden, um eine „.desktop“-Datei mit dem Startbefehl der Anwendung aus Flatpak zu erstellen, wodurch auf Dateien des Hauptsystems zugegriffen werden kann. Um die Isolation zu verlassen, werden Manipulationen mit dem Parameter „—command“ verwendet, der dazu dient, den Namen des innerhalb des Flatpak-Pakets befindlichen Programms zu übergeben, das in der isolierten Umgebung gestartet werden soll. Um die isolierte Umgebung einzurichten, ruft Flatpak das Tool bwrap auf und übergibt den angegebenen Programmnamen. Zum Beispiel kann zur Ausführung des Befehls ls in der isolierten Umgebung des Pakets die Struktur „flatpak run —command=ls org.gnome.gedit“ verwendet werden, was zur Ausführung von „bwrap ls“ führt.

Das Wesen der Schwachstelle besteht darin, dass, wenn der Name des Programms mit den Zeichen „—“ beginnt, er von dem Tool bwrap als eigene Option wahrgenommen wird. Zum Beispiel führt der Befehl „flatpak run —command=—bind org.gnome.gedit / /host ls -l /host“ zur Ausführung von „bwrap --bind / /host ls -l /host“, d.h. der Name „—bind“ wird nicht als Name des zu startenden Programms, sondern als Option von bwrap behandelt.

Die Schwachstelle wird dadurch verschärft, dass die D-Bus-Schnittstelle „org.freedesktop.portal.Background.RequestBackground“ einer Anwendung aus dem Flatpak-Paket ermöglicht, jeden Befehl auszuführen, einschließlich solcher, die mit dem Zeichen „—“ beginnen, wenn „flatpak run —command“ verwendet wird. Es wurde davon ausgegangen, dass die Übergabe beliebiger Befehle unbedenklich ist, da sie in der isolierten Umgebung des Pakets ausgeführt werden. Allerdings wurde nicht berücksichtigt, dass Befehle, die mit „—“ beginnen, als Optionen von dem Tool bwrap behandelt werden. Infolgedessen kann die xdg-desktop-portal-Schnittstelle verwendet werden, um eine „.desktop“-Datei mit einem Befehl zu erstellen, der die Schwachstelle ausnutzt.

Quelle: opennet.ru