{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Flatpak'i haavatavus, mis v\u00f5imaldab k\u00e4ivitada koodi isoleeritud keskkonnast v\u00e4ljaspool","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Just paar tundi tagasi avaldatud Flatpak'i s\u00f5ltumatute pakettide s\u00fcsteemi versioonis 1.16.4 ja katsetuses 1.17.4 on k\u00f5rvaldatud haavatavus (CVE-2026-34078), mis v\u00f5imaldab pahatahtlikul v\u00f5i kompromiteeritud flatpak-rakendusel m\u00f6\u00f6duda kehtestatud liivakasti isolatsioonire\u017eiimist, p\u00e4\u00e4seda juurde failidele p\u00f5hiosas ning k\u00e4ivitada suvalist koodi v\u00e4ljaspool isolatsioonire\u017eiimi. Probleemile on m\u00e4\u00e4ratud kriitiline ohutaseme tase (9,3 skaalal 10). <\/p>\n

Haavatavus esineb D-Bus teenuses flatpak-portal, mis tagab \u201eportaalide\u201d k\u00e4ivitamise, mida kasutatakse juurdep\u00e4\u00e4su korraldamiseks p\u00f5hikeskkonna ressurssidele isoleeritud rakendustest. Probleem tuleneb sellest, et flatpak-portal teenus lubab rakendusel m\u00e4\u00e4rata sandbox-expose valiku kaudu failiteed, mis puudulike kontrollide t\u00f5ttu v\u00f5ivad olla s\u00fcmboolsed lingid, viidates suvalistele failis\u00fcsteemi kohtadele. <\/p>\n

Enne monteerimist avab teenus s\u00fcmboolse lingi ja monteerib sandbox-\u00fchedatee, kuhu see viitab, v\u00f5imaldades seel\u00e4bi \u00fcmber minna isolatsioonist ja saada juurdep\u00e4\u00e4s lugemiseks ja kirjutamiseks host-\u00fchedate failidele. N\u00e4iteks, oma koodi k\u00e4itamiseks s\u00fcsteemis v\u00f5ib lisada automaatselt k\u00e4ivituva skripti, nagu \u201e~\/.bashrc\u201d v\u00f5i \u201e~\/.profile\u201d, v\u00f5i muuta faili \u201e~\/.ssh\/authorized_keys\u201d SSH v\u00f5tmetega. <\/p>\n

Haavatavuse k\u00f5rvaldamise staatust jaotustes saab hinnata nende lehtede j\u00e4rgi (kui lehte ei saa avada, siis pole jaotuse arendajad veel probleemi k\u00e4sitlemisega alustanud): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Kaitse j\u00e4rkj\u00e4rguliseks lahenduseks v\u00f5ib olla flatpak-portal teenuse v\u00e4ljal\u00fclitamine: sudo systemctl \u2014global mask flatpak-portal.service && systemctl \u2014user stop flatpak-portal.service <\/p>\n

Lisaks kriitilisele haavatavusele on uues v\u00e4ljaandes k\u00f5rvaldatud veel kolm turvaprobleemi: <\/p>\n