In der vor einigen Stunden veröffentlichten korrigierten Version des Systems autonomer Flatpak-Pakete 1.16.4 sowie in der experimentellen Version 1.17.4 wurde eine Sicherheitsanfälligkeit (CVE-2026-34078) behoben, die es einer bösartigen oder kompromittierten Flatpak-Anwendung ermöglicht, den festgelegten Sandbox-Isolationsmodus zu umgehen, Zugriff auf Dateien im Hauptsystem zu erhalten und beliebigen Code außerhalb des Isolationsmodus auszuführen. Das Problem wurde als kritisch eingestuft (9.3 von 10).
Die Sicherheitsanfälligkeit ist im D-Bus-Dienst flatpak-portal vorhanden, der das Starten von "Portalen" ermöglicht, die für den Zugriff auf Ressourcen der Hauptumgebung aus isolierten Anwendungen verwendet werden. Das Problem entsteht, weil der Dienst flatpak-portal der Anwendung erlaubt, in der Option sandbox-expose Dateipfade anzugeben, die aufgrund fehlender angemessener Überprüfungen symbolische Links sein können, die auf beliebige Teile des Dateisystems zeigen.
Vor dem Einhängen gibt der Dienst den symbolischen Link preis und montiert in die Sandbox-Umgebung den Pfad, auf den er verweist, was es ermöglicht, die Isolation zu umgehen und Lese- und Schreibzugriff auf Dateien der Host-Umgebung zu erhalten. Um die Ausführung eigenen Codes im System zu organisieren, kann man beispielsweise ein automatisch gestartetes Skript wie "~/.bashrc" oder "~/.profile" hinzufügen oder die Datei "~/.ssh/authorized_keys" mit SSH-Schlüsseln ändern.
Der Status der Behebung der Sicherheitsanfälligkeit in den Distributionen kann auf diesen Seiten bewertet werden (wenn die Seite nicht verfügbar ist, haben die Entwickler der Distributionen noch nicht mit der Behandlung des Problems begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Als vorübergehende Schutzmaßnahme kann der Dienst flatpak-portal deaktiviert werden: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Neben der kritischen Sicherheitsanfälligkeit wurden in der neuen Version drei weitere Sicherheitsprobleme behoben:
- Die Möglichkeit (CVE-2026-34079), beliebige Dateien im Dateisystem des Host-Systems zu löschen. Das Problem tritt auf, da Flatpak beim Bereinigen des veralteten Caches von ld.so nicht überprüft, ob sich die zu löschende Datei tatsächlich im Cache-Verzeichnis befindet.
- Die Möglichkeit, beliebige Dateien im Kontext system-helper auf Systemen mit konfiguriertem OCI-Image-Repository durch Manipulation mit symbolischen Links zu lesen.
- Die Möglichkeit, in die Verarbeitung von Anfragen zur Abbruch von App-Downloads einzugreifen, die es einem Benutzer ermöglicht, einem anderen Benutzer das Stoppen des Downloads zu verwehren.
Quelle: opennet.ru
