{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Flatpak, die die Ausf\u00fchrung von Code au\u00dferhalb der isolierten Umgebung erm\u00f6glicht","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der vor einigen Stunden ver\u00f6ffentlichten korrigierten Version des Systems autonomer Flatpak-Pakete 1.16.4 sowie in der experimentellen Version 1.17.4 wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2026-34078) behoben, die es einer b\u00f6sartigen oder kompromittierten Flatpak-Anwendung erm\u00f6glicht, den festgelegten Sandbox-Isolationsmodus zu umgehen, Zugriff auf Dateien im Hauptsystem zu erhalten und beliebigen Code au\u00dferhalb des Isolationsmodus auszuf\u00fchren. Das Problem wurde als kritisch eingestuft (9.3 von 10). <\/p>\n
Die Schwachstelle betrifft den D-Bus-Dienst flatpak-portal, der f\u00fcr den Start von \u201ePortalen\u201c verantwortlich ist, die f\u00fcr den Zugriff auf Ressourcen der Hauptumgebung aus isolierten Anwendungen verwendet werden. Das Problem entsteht dadurch, dass der Dienst flatpak-portal es der Anwendung erm\u00f6glicht, in der Option sandbox-expose Dateipfade anzugeben, die aufgrund fehlender geeigneter \u00dcberpr\u00fcfungen symbolische Links sein k\u00f6nnen und auf beliebige Teile des Dateisystems verweisen. <\/p>\n
Vor der Einbindung \u00f6ffnet der Dienst den symbolischen Link und bindet den Pfad, auf den er verweist, in die Sandbox-Umgebung ein, wodurch die Isolation umgangen wird und Lese- und Schreibzugriff auf Dateien der Host-Umgebung erm\u00f6glicht wird. Um die Ausf\u00fchrung eigenen Codes im System zu organisieren, kann man beispielsweise ein automatisch startendes Skript wie \u201e~\/.bashrc\u201c oder \u201e~\/.profile\u201c hinzuf\u00fcgen oder die Datei \u201e~\/.ssh\/authorized_keys\u201c mit SSH-Schl\u00fcsseln \u00e4ndern. <\/p>\n
Den Status der Behebung der Schwachstelle in den Distributionen kann man auf den folgenden Seiten pr\u00fcfen (wenn die Seite nicht verf\u00fcgbar ist, haben die Entwickler der Distribution noch nicht mit der Pr\u00fcfung des Problems begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Als Workaround kann der Dienst flatpak-portal deaktiviert werden: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
Neben der kritischen Sicherheitsanf\u00e4lligkeit wurden in der neuen Version drei weitere Sicherheitsprobleme behoben: <\/p>\n
\n
Die M\u00f6glichkeit (CVE-2026-34079), beliebige Dateien im Dateisystem des Host-Systems zu l\u00f6schen. Das Problem tritt auf, da Flatpak beim Bereinigen des veralteten Caches von ld.so nicht \u00fcberpr\u00fcft, ob sich die zu l\u00f6schende Datei tats\u00e4chlich im Cache-Verzeichnis befindet.\n
Die M\u00f6glichkeit, beliebige Dateien im Kontext system-helper auf Systemen mit konfiguriertem OCI-Image-Repository durch Manipulation mit symbolischen Links zu lesen.\n
Die M\u00f6glichkeit, in die Verarbeitung von Anfragen zur Abbruch von App-Downloads einzugreifen, die es einem Benutzer erm\u00f6glicht, einem anderen Benutzer das Stoppen des Downloads zu verwehren. <\/ul>\n