{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Vulnerabilidad en Flatpak que permite ejecutar c\u00f3digo fuera del entorno aislado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En una publicaci\u00f3n corregida publicada hace unas horas sobre la versi\u00f3n de paquetes autoconclusivos Flatpak 1.16.4, as\u00ed como en la versi\u00f3n experimental 1.17.4, se ha corregido una vulnerabilidad (CVE-2026-34078) que permite a una aplicaci\u00f3n maliciosa o comprometida en formato flatpak eludir el modo de aislamiento sandbox establecido, acceder a archivos en el sistema principal y ejecutar c\u00f3digo arbitrario fuera del modo de aislamiento. A este problema se le ha asignado un nivel de gravedad cr\u00edtico (9.3 de 10). <\/p>\n
La vulnerabilidad se encuentra en el servicio D-Bus flatpak-portal, que facilita el lanzamiento de \"portales\" utilizados para gestionar el acceso a recursos del entorno principal desde aplicaciones aisladas. El problema surge porque el servicio flatpak-portal permite a la aplicaci\u00f3n especificar en la opci\u00f3n sandbox-expose rutas de archivos que, debido a la falta de comprobaciones adecuadas, pueden ser enlaces simb\u00f3licos que apuntan a partes arbitrarias del sistema de archivos. <\/p>\n
Antes de montar, el servicio revela el enlace simb\u00f3lico y monta en el entorno de sandbox la ruta a la que apunta, lo que permite eludir la aislamiento y obtener acceso de lectura y escritura a los archivos del entorno host. Para ejecutar su c\u00f3digo en el sistema, por ejemplo, se puede a\u00f1adir un script de inicio autom\u00e1tico, como \"~\/.bashrc\" o \"~\/.profile\", o modificar el archivo \"~\/.ssh\/authorized_keys\" con claves SSH. <\/p>\n
El estado de la correcci\u00f3n de la vulnerabilidad en las distribuciones se puede evaluar en las siguientes p\u00e1ginas (si la p\u00e1gina no est\u00e1 disponible, significa que los desarrolladores de la distribuci\u00f3n a\u00fan no han comenzado a abordar el problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Como una soluci\u00f3n alternativa para protegerse, se puede desactivar el servicio flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
Adem\u00e1s de la vulnerabilidad cr\u00edtica, en la nueva versi\u00f3n se han corregido otros tres problemas de seguridad: <\/p>\n
\n
La posibilidad (CVE-2026-34079) de eliminar un archivo arbitrario en el sistema de archivos del sistema host. El problema se debe a que flatpak, al limpiar el cach\u00e9 obsoleto de ld.so, no verifica la ubicaci\u00f3n real del archivo a eliminar en el directorio de cach\u00e9.\n
La posibilidad de leer archivos arbitrarios en el contexto de system-helper en sistemas con un repositorio de im\u00e1genes OCI configurado a trav\u00e9s de manipulaciones con enlaces simb\u00f3licos.\n
La capacidad de interferir en el manejo de solicitudes de cancelaci\u00f3n de descargas de aplicaciones, permitiendo que un usuario evite que otro usuario detenga la descarga. <\/ul>\n