Korektigaj ĝisdatigoj al la ilaro disponeblas por krei memstarajn Flatpak-pakaĵojn 1.14.4, 1.12.8, 1.10.8 kaj 1.15.4, kiuj riparas du vundeblecojn:
- CVE-2023-28100 - la kapablo kopii kaj anstataŭigi tekston en la virtualan konzolan enigbufron per manipulado de la TIOCLINUX ioctl dum instalado de flatpak-pakaĵo preparita de atakanto. Ekzemple, la vundebleco povus esti uzata por lanĉi arbitrajn komandojn en la konzolo post kiam la instala procezo de triaparta pako finiĝis. La problemo nur aperas en la klasika virtuala konzolo (/dev/tty1, /dev/tty2, ktp.) kaj ne influas kunsidojn en xterm, gnome-terminal, Konsole kaj aliaj grafikaj terminaloj. La vundebleco ne estas specifa por flatpak kaj povas esti uzita por ataki aliajn aplikojn, ekzemple, antaŭe similaj vundeblecoj kiuj permesis karakteron anstataŭigon per la TIOCSTI ioctl-interfaco estis trovitaj en /bin/sandbox kaj snap.
- CVE-2023-28101 - Eblas uzi eskapsekvencojn en listo de permesoj en pakaĵmetadatumoj por kaŝi terminalajn elig-informojn pri petitaj plilongigitaj permesoj dum instalado aŭ ĝisdatigo de pakaĵo per la komandlinia interfaco. Atakantoj povus ekspluati ĉi tiun vundeblecon por trompi uzantojn pri la akreditaĵoj uzataj en la pakaĵo. GUI-oj por instali Flatpak-pakaĵojn, kiel GNOME Software kaj KDE Plasma Discover, ne estas tuŝitaj de ĉi tiu problemo.
fonto: opennet.ru