{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit in Flatpak wurde entdeckt, die die Ausf\u00fchrung von Code au\u00dferhalb der isolierten Umgebung erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der vor wenigen Stunden ver\u00f6ffentlichten Korrekturversion des selbst\u00e4ndigen Flatpak-Paket-Systems 1.16.4 sowie in der experimentellen Version 1.17.4 wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2026-34078) behoben, die es b\u00f6swilligen oder kompromittierten Flatpak-Anwendungen erm\u00f6glicht, den festgelegten Sandbox-Isolationsmodus zu umgehen, auf Dateien im Hauptsystem zuzugreifen und beliebigen Code au\u00dferhalb des Isolationsmodus auszuf\u00fchren. Der Problematik wurde ein kritisches Gef\u00e4hrdungsniveau (9,3 von 10) zugewiesen. <\/p>\n
Die Schwachstelle besteht im D-Bus-Dienst flatpak-portal, der die Ausf\u00fchrung von \u201ePortalen\u201c erm\u00f6glicht, die f\u00fcr den Zugriff auf Ressourcen der Hauptumgebung aus isolierten Anwendungen verwendet werden. Das Problem entsteht, weil der Dienst flatpak-portal es einer Anwendung erlaubt, in den Optionen sandbox-expose Dateipfade anzugeben, die aufgrund fehlender geeigneter Pr\u00fcfungen symbolische Links sein k\u00f6nnen, die auf beliebige Teile des Dateisystems zeigen. <\/p>\n
Vor dem Mounten entbl\u00f6\u00dft der Dienst den symbolischen Link und mountet den Pfad in die Sandbox-Umgebung, auf den dieser zeigt, was es erm\u00f6glicht, die Isolation zu umgehen und Lese- und Schreibzugriff auf Dateien der Host-Umgebung zu erhalten. Um beispielsweise eigenen Code im System auszuf\u00fchren, kann man ein Autostart-Skript wie \u201e~\/.bashrc\u201c oder \u201e~\/.profile\u201c hinzuf\u00fcgen oder die Datei \u201e~\/.ssh\/authorized_keys\u201c mit SSH-Schl\u00fcsseln \u00e4ndern. <\/p>\n
Den Status der Behebung der Schwachstelle in den Distributionen kann man auf den folgenden Seiten \u00fcberpr\u00fcfen (wenn die Seite nicht verf\u00fcgbar ist, haben die Entwickler der Distribution noch nicht mit der Pr\u00fcfung des Problems begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Als vor\u00fcbergehende Schutzma\u00dfnahme kann der Dienst flatpak-portal deaktiviert werden: sudo systemctl \u2014global mask flatpak-portal.service && systemctl \u2014user stop flatpak-portal.service <\/p>\n
Neben der kritischen Schwachstelle wurden im neuen Release weitere drei Sicherheitsprobleme behoben: <\/p>\n
\n
Die M\u00f6glichkeit (CVE-2026-34079) der L\u00f6schung beliebiger Dateien im Dateisystem der Host-Systeme. Das Problem tritt auf, weil flatpak beim Bereinigen des veralteten Caches von ld.so nicht \u00fcberpr\u00fcft, ob die zu l\u00f6schende Datei tats\u00e4chlich im Cache-Verzeichnis vorhanden ist.\n
Die M\u00f6glichkeit, beliebige Dateien im Kontext system-helper auf Systemen mit einem konfigurierten OCI-Image-Repository durch Manipulation von symbolischen Links zu lesen.\n
Die M\u00f6glichkeit, in die Verarbeitung von Anfragen zum Abbrechen von Anwendungsdownloads einzugreifen, wodurch ein Benutzer einem anderen Benutzer das Stoppen des Downloads verwehren kann. <\/ul>\n