Hay actualizaciones correctivas del kit de herramientas disponibles para crear paquetes Flatpak autónomos 1.14.4, 1.12.8, 1.10.8 y 1.15.4, que corrigen dos vulnerabilidades:
- CVE-2023-28100: la capacidad de copiar y sustituir texto en el búfer de entrada de la consola virtual mediante la manipulación de TIOCLINUX ioctl al instalar un paquete flatpak preparado por un atacante. Por ejemplo, la vulnerabilidad podría usarse para ejecutar comandos arbitrarios en la consola después de que se haya completado el proceso de instalación de un paquete de terceros. El problema sólo aparece en la consola virtual clásica (/dev/tty1, /dev/tty2, etc.) y no afecta a las sesiones en xterm, gnome-terminal, Konsole y otros terminales gráficos. La vulnerabilidad no es específica de Flatpak y puede usarse para atacar otras aplicaciones; por ejemplo, anteriormente se encontraron vulnerabilidades similares que permitían la sustitución de caracteres a través de la interfaz TIOCSTI ioctl en /bin/sandbox y snap.
- CVE-2023-28101: es posible utilizar secuencias de escape en una lista de permisos en los metadatos del paquete para ocultar información de salida del terminal sobre los permisos extendidos solicitados durante la instalación o actualización de un paquete a través de la interfaz de línea de comandos. Los atacantes podrían aprovechar esta vulnerabilidad para engañar a los usuarios sobre las credenciales utilizadas en el paquete. Las GUI para instalar paquetes Flatpak, como el software GNOME y KDE Plasma Discover, no se ven afectadas por este problema.
Fuente: opennet.ru