Se ha publicado una nueva rama estable de la herramienta Flatpak 1.12, que proporciona un sistema para construir paquetes aut\u00f3nomos, no vinculados a distribuciones espec\u00edficas de Linux y ejecutados en un contenedor especial que a\u00edsla la aplicaci\u00f3n del resto del sistema. La ejecuci\u00f3n de paquetes Flatpak es compatible con Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux y Ubuntu. Los paquetes Flatpak est\u00e1n incluidos en el repositorio de Fedora y son compatibles con el programa de gesti\u00f3n de aplicaciones GNOME. <\/p>\n
Novedades clave en la rama Flatpak 1.12: <\/p>\n
Como resultado, un atacante a trav\u00e9s de la ejecuci\u00f3n de llamadas al sistema relacionadas con el montaje podr\u00eda eludir el mecanismo de aislamiento sandbox y obtener acceso completo al contenido del entorno host. La explotaci\u00f3n de la vulnerabilidad es posible solo en paquetes que brindan a las aplicaciones acceso directo a sockets AF_UNIX, que, por ejemplo, se utilizan en Wayland, Pipewire y pipewire-pulse. En la versi\u00f3n 1.12.0, la vulnerabilidad no se solucion\u00f3 por completo, por lo que se lanz\u00f3 r\u00e1pidamente una actualizaci\u00f3n 1.12.1. <\/ul>\n
Recordemos que Flatpak permite a los desarrolladores de aplicaciones simplificar la distribuci\u00f3n de sus programas que no est\u00e1n en los repositorios est\u00e1ndar de las distribuciones, mediante la preparaci\u00f3n de un \u00fanico contenedor universal sin necesidad de crear compilaciones individuales para cada distribuci\u00f3n. A los usuarios preocupados por la seguridad, Flatpak les permite ejecutar aplicaciones dudosas en un contenedor, brindando acceso solo a funciones de red y a los archivos del usuario relacionados con la aplicaci\u00f3n. A los usuarios interesados en las novedades, Flatpak les permite instalar las versiones de prueba y estables m\u00e1s recientes de aplicaciones sin necesidad de realizar cambios en el sistema. Por ejemplo, los paquetes Flatpak se compilan para LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, etc. <\/p>\n
Para reducir el tama\u00f1o del paquete, incluye solo las dependencias espec\u00edficas de la aplicaci\u00f3n, mientras que las bibliotecas gr\u00e1ficas y del sistema b\u00e1sicas (GTK, Qt, bibliotecas GNOME y KDE, etc.) se estructuran como entornos de ejecuci\u00f3n modulares. La principal diferencia entre Flatpak y Snap es que Snap utiliza componentes del entorno del sistema principal y aislamiento basado en la filtraci\u00f3n de llamadas al sistema, mientras que Flatpak crea un contenedor separado del sistema y opera con grandes conjuntos de runtime, proporcionando como dependencias no paquetes, sino entornos de sistema gen\u00e9ricos (por ejemplo, todas las bibliotecas necesarias para el funcionamiento de programas GNOME o KDE). <\/p>\n
Adem\u00e1s del entorno de sistema est\u00e1ndar (runtime), que se instala a trav\u00e9s de un repositorio especial, se proporcionan dependencias adicionales (bundle) necesarias para el funcionamiento de la aplicaci\u00f3n. En total, el runtime y el bundle conforman el contenido del contenedor, dado que el runtime se instala por separado y se vincula a varios contenedores a la vez, lo que evita la duplicaci\u00f3n de archivos sistem\u00e1ticos comunes a los contenedores. En un sistema pueden instalarse varios runtimes diferentes (GNOME, KDE) o varias versiones de un mismo runtime (GNOME 3.40, GNOME 3.42). El contenedor de la aplicaci\u00f3n como dependencia utiliza la vinculaci\u00f3n solo a un runtime espec\u00edfico, sin tener en cuenta los paquetes individuales que componen el runtime. Todos los elementos faltantes se empaquetan directamente junto con la aplicaci\u00f3n. Al formar el contenedor, el contenido del runtime se monta como la secci\u00f3n \/usr, y el bundle se monta en el directorio \/app. <\/p>\n
El contenido del runtime y de los contenedores de aplicaciones se forma utilizando la tecnolog\u00eda OSTree, en la cual la imagen se actualiza de manera at\u00f3mica desde un repositorio similar a Git, lo que permite aplicar m\u00e9todos de control de versiones a los componentes de la distribuci\u00f3n (por ejemplo, se puede revertir r\u00e1pidamente el sistema a un estado anterior). Los paquetes RPM se traducen al repositorio OSTree mediante una capa especial llamada rpm-ostree. No se admite la instalaci\u00f3n y actualizaci\u00f3n de paquetes por separado dentro del entorno de trabajo, el sistema se actualiza no a nivel de componentes individuales, sino en su totalidad, cambiando su estado de manera at\u00f3mica. Se proporcionan herramientas para la aplicaci\u00f3n incremental de actualizaciones, eliminando la necesidad de reemplazar toda la imagen en cada actualizaci\u00f3n. <\/p>\n
El entorno aislado que se forma es completamente independiente de la distribuci\u00f3n utilizada y, con la configuraci\u00f3n adecuada del paquete, no tiene acceso a los archivos y procesos del usuario o del sistema principal, ni puede acceder directamente al hardware, salvo la salida a trav\u00e9s de DRI y los accesos a la subsistema de red. La salida gr\u00e1fica y la organizaci\u00f3n de la entrada se realizan mediante el protocolo Wayland o a trav\u00e9s del reenv\u00edo del socket X11. La interacci\u00f3n con el entorno externo se basa en el sistema de mensajer\u00eda DBus y una API especial llamada Portals. <\/p>\n
Para la aislamiento se utiliza una capa de Bubblewrap y tecnolog\u00edas tradicionales de virtualizaci\u00f3n de contenedores en Linux, basadas en el uso de cgroups, espacios de nombres (namespaces), Seccomp y SELinux. Para la salida de audio se aplica PulseAudio. Sin embargo, la aislamiento puede ser desactivada, lo cual es aprovechado por los desarrolladores de muchos paquetes populares para obtener acceso completo al sistema de archivos y todos los dispositivos del sistema. Por ejemplo, los paquetes GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity y VLC se suministran con un modo de aislamiento limitado que deja acceso completo al directorio personal. <\/p>\n