Flatpaki haavatavus, mis võimaldab vältida sandbox-eratust.

Flatpak'i tööriistades, mis on mõeldud sõltumatute pakettide loomiseks, mis ei ole seotud konkreetsete Linuxi distributsioonidega ja on süsteemist eraldatud, avastati haavatavus (CVE-2024-32462). See haavatavus võimaldab pahatahtlikul või kompromiteeritud rakendusel, mis on pakendis flatpak, kõigepealt mööda hiilida kehtestatud liivakasti eraldatusest ja pääseda juurde põhikoha failidele. Probleem ilmneb ainult paketides, mis kasutavad Freedesktop'i porte (xdg-desktop-portal), mida kasutatakse ressurside ligipääsu korraldamiseks kasutajakeskkonnast eraldatud rakendustest. Haavatavus on kõrvaldhef noopist ja värskendustes flatpak versioonides 1.15.8, 1.14.6, 1.12.9 ja 1.10.9. Kaitsemeetmed on samuti pakutud xdg-desktop-portal'i väljaannetes 1.16.1 ja 1.18.4.

Aitäh haavatavusele võib eraldatud keskkonnas olev rakendus kasutada xdg-desktop-portal’i liidest, et luua „.desktop” fail, mis sisaldab flatpak rakenduse käivituskäsku, mis võimaldab juurde pääseda põhikoha failidele. Eraldatud keskkonnast väljumiseks kasutatakse parameteri „—command” manipuleerimist, mis edastab rakenduse nime, mis asub flatpak-paketis ning mida tuleb eraldatud keskkonnas käivitada. Eraldatud keskkonna seadistamiseks kutsub flatpak välja utiliidi bwrap, edastades sellele vastava programmi nime. Näiteks eraldatud keskkonnas utiliidi ls käivitamiseks võib kasutada konstruktsiooni „flatpak run —command=ls org.gnome.gedit”, mis käivitab „bwrap ls”.

Haavatavuse sisu on see, et kui programmi nimi algab sümbolitega „—”, siis loetakse see utiliidi bwrap poolt oma valikuks. Näiteks käivitamine „flatpak run —command=—bind org.gnome.gedit / /host ls -l /host” viib selle täitmiseni „bwrap —bind / /host ls -l /host”, s.t. nimi „—bind” töödeldakse mitte kui käivitatava rakenduse nimi, vaid kui bwrap valik.

Haavatavuse tõsidus suureneb seetõttu, et D-Bus liides „org.freedesktop.portal.Background.RequestBackground” võimaldab Flatpak paketi rakendusel määrata igasuguseid käske, mida tuleb täita „flatpak run —command” abil, sealhulgas selliseid, mis algavad sümboliga „—”. Oletati, et igasuguste käskude edastamine ei ole ohtlik, kuna need täidetakse paketi eraldatud keskkonnas. Kuid ei arvestatud, et käskude, mis algavad „—” võib käsitleda bwrap utiliidi poolt valikutena. Tulemuseks on see, et xdg-desktop-portal'i liidest saab kasutada haavatavusele tugineva „.desktop” faili loomiseks.

Allikas: opennet.ru