In der vor wenigen Stunden veröffentlichten Korrekturversion des selbständigen Flatpak-Paket-Systems 1.16.4 sowie in der experimentellen Version 1.17.4 wurde eine Sicherheitsanfälligkeit (CVE-2026-34078) behoben, die es böswilligen oder kompromittierten Flatpak-Anwendungen ermöglicht, den festgelegten Sandbox-Isolationsmodus zu umgehen, auf Dateien im Hauptsystem zuzugreifen und beliebigen Code außerhalb des Isolationsmodus auszuführen. Der Problematik wurde ein kritisches Gefährdungsniveau (9,3 von 10) zugewiesen.
Die Sicherheitsanfälligkeit besteht im D-Bus-Dienst flatpak-portal, der den Start von „Portalen“ ermöglicht, die den Zugriff auf Ressourcen der Hauptumgebung aus isolierten Anwendungen organisieren. Das Problem entsteht, weil der Dienst flatpak-portal es Anwendungen ermöglicht, in den Optionen sandbox-expose Dateipfade anzugeben, die aufgrund fehlender ordnungsgemäßer Überprüfungen symbolische Links sein können, die auf beliebige Teile des Dateisystems verweisen.
Vor der Montage öffnet der Dienst einen symbolischen Link und montiert den Pfad, auf den er verweist, in eine Sandbox-Umgebung. Dies ermöglicht es, die Isolation zu umgehen und Lese- sowie Schreibzugriff auf die Dateien der Host-Umgebung zu erhalten. Um die Ausführung des eigenen Codes im System zu ermöglichen, könnte man beispielsweise ein automatisch ausführbares Skript hinzufügen, wie „~/.bashrc“ oder „~/.profile“, oder die Datei „~/.ssh/authorized_keys“ mit den SSH-Schlüsseln ändern.
Den Status der Behebung der Schwachstelle in den Distributionen kann man auf den folgenden Seiten bewerten (wenn die Seite nicht verfügbar ist, haben die Entwickler der Distribution noch nicht mit der Prüfung des Problems begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Als Umgehung zum Schutz kann der Dienst flatpak-portal deaktiviert werden: sudo systemctl —global mask flatpak-portal.service && systemctl —user stop flatpak-portal.service
Neben der kritischen Schwachstelle wurden im neuen Release weitere drei Sicherheitsprobleme behoben:
- Die Möglichkeit (CVE-2026-34079) der Löschung beliebiger Dateien im Dateisystem der Host-Systeme. Das Problem tritt auf, weil flatpak beim Bereinigen des veralteten Caches von ld.so nicht überprüft, ob die zu löschende Datei tatsächlich im Cache-Verzeichnis vorhanden ist.
- Die Möglichkeit, beliebige Dateien im Kontext system-helper auf Systemen mit einem konfigurierten OCI-Image-Repository durch Manipulation von symbolischen Links zu lesen.
- Die Möglichkeit, in die Verarbeitung von Anfragen zum Abbrechen von Anwendungsdownloads einzugreifen, wodurch ein Benutzer einem anderen Benutzer das Stoppen des Downloads verwehren kann.
Quelle: opennet.ru
