{"id":115168,"date":"2024-04-19T02:30:08","date_gmt":"2024-04-19T00:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu"},"modified":"2024-04-19T02:30:08","modified_gmt":"2024-04-19T00:30:08","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","title":{"rendered":"Eine Schwachstelle in flatpak, die eine Umgehung der Sandbox-Isolation erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Flatpak-Toolkit, das zur Erstellung von unabh\u00e4ngigen Paketen dient, die nicht an bestimmte Linux-Distributionen gebunden sind und von der restlichen Systemumgebung isoliert werden, wurde eine Schwachstelle (CVE-2024-32462) entdeckt. Diese Schwachstelle erm\u00f6glicht es einer b\u00f6sartigen oder kompromittierten Anwendung, die in einem Flatpak-Paket geliefert wird, die festgelegte Sandbox-Isolation zu umgehen und auf Dateien im Hauptsystem zuzugreifen. Das Problem tritt nur in Paketen auf, die die Freedesktop-Portale (xdg-desktop-portal) verwenden, die den Zugriff auf Ressourcen der Benutzerumgebung aus isolierten Anwendungen organisieren. Die Schwachstelle wurde in den Korrekturen f\u00fcr Flatpak-Versionen 1.15.8, 1.14.6, 1.12.9 und 1.10.9 behoben. Ein Workaround zum Schutz ist ebenfalls in den Versionen xdg-desktop-portal 1.16.1 und 1.18.4 vorgeschlagen. <\/p>\n
Durch die Schwachstelle kann eine Anwendung in einer isolierten Umgebung das xdg-desktop-portal-Interface verwenden, um eine «.desktop»-Datei mit dem Startbefehl der Anwendung aus flatpak zu erstellen, die Zugriff auf die Dateien des Hauptsystems erm\u00f6glicht. Um aus der isolierten Umgebung auszutreten, werden Manipulationen mit dem Parameter «—command» verwendet, der dazu dient, den Namen des Programms, das innerhalb des flatpak-Pakets ausgef\u00fchrt werden soll, zu \u00fcbergeben. Um die isolierte Umgebung zu konfigurieren, ruft flatpak das bwrap-Utility auf und \u00fcbergibt den angegebenen Programmnamen. Zum Beispiel kann f\u00fcr den Start des Utilities ls in der isolierten Umgebung des Pakets der Befehl «flatpak run —command=ls org.gnome.gedit» verwendet werden, was zum Start von «bwrap <Isolationsparameter> ls» f\u00fchrt. <\/p>\n
Die Essenz der Schwachstelle liegt darin, dass, wenn der Name des Programms mit den Zeichen «—« beginnt, es von der Utility bwrap als eigene Option interpretiert wird. Zum Beispiel f\u00fchrt der Befehl «flatpak run —command=—bind org.gnome.gedit \/ \/host ls -l \/host» zur Ausf\u00fchrung von «bwrap <Isolationsparameter> —bind \/ \/host ls -l \/host», d.h. der Name «—bind» wird nicht als Name des auszuf\u00fchrenden Programms, sondern als Option von bwrap behandelt. <\/p>\n
Die Schwachstelle wird dadurch versch\u00e4rft, dass das D-Bus-Interface «org.freedesktop.portal.Background.RequestBackground» es einer Anwendung aus dem Flatpak-Paket erm\u00f6glicht, jeden Befehl zur Ausf\u00fchrung mit «flatpak run —command» anzugeben, einschlie\u00dflich solcher, die mit dem Zeichen «—« beginnen. Es wurde angenommen, dass die \u00dcbergabe beliebiger Befehle unbedenklich ist, da sie in der isolierten Umgebung des Pakets ausgef\u00fchrt werden. Allerdings wurde nicht bedacht, dass Befehle, die mit «—» beginnen, als Optionen von bwrap behandelt werden. Infolgedessen kann das xdg-desktop-portal verwendet werden, um eine «.desktop»-Datei mit einem Befehl zu erstellen, der die Schwachstelle ausnutzt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"