به‌روزرسانی‌های اصلاحی کیت ابزار برای ایجاد بسته‌های Flatpak مستقل 1.14.4، 1.12.8، 1.10.8 و 1.15.4 در دسترس هستند که دو آسیب‌پذیری را برطرف می‌کنند:
- CVE-2023-28100 - توانایی کپی و جایگزینی متن در بافر ورودی کنسول مجازی از طریق دستکاری TIOCLINUX ioctl هنگام نصب بسته flatpak که توسط مهاجم تهیه شده است. به عنوان مثال، این آسیب‌پذیری می‌تواند برای راه‌اندازی دستورات دلخواه در کنسول پس از تکمیل فرآیند نصب یک بسته شخص ثالث مورد استفاده قرار گیرد. مشکل فقط در کنسول مجازی کلاسیک (/dev/tty1، /dev/tty2 و غیره) ظاهر می‌شود و بر جلسات xterm، gnome-terminal، Konsole و سایر پایانه‌های گرافیکی تأثیری نمی‌گذارد. این آسیب‌پذیری مختص flatpak نیست و می‌توان از آن برای حمله به برنامه‌های کاربردی دیگر استفاده کرد، برای مثال، آسیب‌پذیری‌های مشابه قبلی که امکان تعویض کاراکتر از طریق رابط TIOCSTI ioctl را می‌داد، در /bin/sandbox و snap یافت شد.
- CVE-2023-28101 - استفاده از دنباله های فرار در لیستی از مجوزها در فراداده بسته برای پنهان کردن اطلاعات خروجی ترمینال در مورد مجوزهای توسعه یافته درخواستی در حین نصب یا به روز رسانی بسته از طریق رابط خط فرمان امکان پذیر است. مهاجمان می توانند از این آسیب پذیری برای گمراه کردن کاربران در مورد اعتبار استفاده شده در بسته سوء استفاده کنند. رابط‌های کاربری گرافیکی برای نصب بسته‌های Flatpak، مانند نرم‌افزار GNOME و KDE Plasma Discover تحت تأثیر این مشکل قرار نمی‌گیرند.
منبع: opennet.ru