Flatpaki haavatavus, mis võimaldab vältida sandbox-isolatsiooni

Flatpaki tööriistus, mis on mõeldud iseseisvate pakettide loomiseks, mis ei ole seotud konkreetsete Linuxi jaotustega ning on eraldatud ülejäänud süsteemist, on tuvastatud haavatavus (CVE-2024-32462). See haavatavus võimaldab pahatahtlikul või kompromiteeritud rakendusel, mis on pakettides flatpak, kõrvale hiilida kehtestatud sandbox-isolatsioonirežimist ja pääseda juurde failidele põhissüsteemis. Probleem ilmneb ainult pakettides, mis kasutavad Freedesktop'i porte (xdg-desktop-portal), mis on mõeldud juurdepääsuks kasutajakeskkonna ressurssidele eraldatud rakendustest. Haavatavus on kõrvaldatud flatpaki parandustes 1.15.8, 1.14.6, 1.12.9 ja 1.10.9. Kaitsmiseks on samuti pakutud lahendus xdg-desktop-portal'i väljaannetes 1.16.1 ja 1.18.4.

Haavatavuse tõttu saab eraldatud keskkonnas olev rakendus kasutada xdg-desktop-portal'i liidest, et luua «.desktop» fail käivitamisjuhisega flatpakist, mis võimaldab pääseda juurde põhissüsteemi failidele. Eemaldumiseks eraldatud keskkonnast kasutatakse manipuleerimist parameetriga «—command», mis on mõeldud rakenduse nime edastamiseks, mis asub flatpak-paketis ja mida tuleb käivitada eraldatud keskkonnas. Eraldatud keskkonna seadistamiseks kutsub flatpak välja utiliidi bwrap, edastades talle määratud rakenduse nime. Näiteks paketi eraldatud keskkonnas utiliidi ls käivitamiseks võib kasutada konstruktsiooni «flatpak run —command=ls org.gnome.gedit», mis toob kaasa «bwrap ls» käivitamise.

Haavatavuse olemus seisneb selles, et kui rakenduse nimi algab sümbolitest «—«, siis tõlgendab utiliit bwrap seda kui oma valikut. Näiteks käivitamine «flatpak run —command=—bind org.gnome.gedit / /host ls -l /host» toob kaasa «bwrap —bind / /host ls -l /host» käivitamise, st nimi «—bind» töödeldakse mitte kui käivitatavat rakendust, vaid kui bwrap'i valikut.

Haavatavus süveneb seetõttu, et D-Bus liides "org.freedesktop.portal.Background.RequestBackground" võimaldab Flatpaki paketist rakendusel määrata iga käsu täitmiseks, kasutades "flatpak run —command", sealhulgas ka selliseid, mis algavad sümboliga "—". Eeldati, et iga käsu edastamine ei ole ohtlik, kuna need täidetakse paketi isoleeritud keskkonnas. Kuid ei arvestatud, et käsud, mis algavad "—" töödeldakse bwrap utiliidi poolt valikutena. Lõppkokkuvõttes saab xdg-desktop-portal'i kasutada "desktop" faili loomiseks käsuga, mis ekspluateerib haavatavust.

Allikas: opennet.ru