Flatpak'i haave, mis võimaldab koodi käivitada isoleeritud keskkonnast väljaspool

Hiljutises 1.16.4 versioonis ning katsetavas 1.17.4 versioonis Flatpaki suhtes on kõrvaldatud haavatavus (CVE-2026-34078), mis võimaldab pahatahtlikul või kompromiteeritud Flatpaki formaadi rakendusel sanitaarpiirangud üle saada, pääseda juurde host-süsteemi failidele ja käivitada koodi väljaspool isoleeritud keskkonda. Probleemile on antud kriitiline ohtude tase (9,3 skaalal 10).

Haavatavus esineb D-Bus teenuses flatpak-portal, mis võimaldab juurdepääsu ressurssidele isoleeritud rakendustest "portaalide" kaudu. Probleem tuleneb sellest, et flatpak-portal teenus lubab rakendusel määrata sandbox-expose parameetri failiteed, mis puudulike kontrollide tõttu võivad olla sümboolsed lingid, viidates arbiitrikestama süsteemi osadele.

Enne monteerimist teenus avab sümboolse lingi ja monteerib sandbox-keskkonda selle viidatud tee, mis võimaldab isoleerimise ületamist ja juurdepääsu lugemiseks ja kirjutamiseks host-keskkonna failidele. Näiteks võib oma koodi süsteemis täitmiseks lisada automaatselt käivituva skripti nagu "~/.bashrc" või "~/.profile", või muuta faili "~/.ssh/authorized_keys" SSH võtmete jaoks.

Haavatavuse kõrvaldamise staatust distributsioonides saab mõõta järgmiste lehtede kaudu (kui leht ei ole saadaval, siis on distributsiooni arendajad veel probleemi arutamiseks ette võtnud): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Kaitse ümbersuunamise lahendusena võib deaktiveerida flatpak-portal teenuse: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service

Lisaks kriitilisele haavatavusele on uues väljaandes kõrvaldatud veel kolm turvaprobleemi:

• Võimalus (CVE-2026-34079) kustutada juhuslik fail host-süsteemi failisüsteemist. Probleem tuleneb sellest, et flatpak ei kontrolli, kas kustutatav fail asub tõeliselt vahemälu kataloogis, kui see nüüd vananenud ld.so vahemälu puhastatakse.
• Võimalus lugeda juhuslikke faile system-helper kontekstis süsteemides, kus on seadistatud OCI piltide hoidla, sümboolsete linkide manipuleerimise kaudu.
• Võimalus sekkuda rakenduste allalaadimise katkestamise päringute töötlemisse, võimaldades ühel kasutajal takistada teist kasutajat allalaadimist peatada.

Allikas: opennet.ru