Vulnérabilité dans Flatpak permettant d'exécuter du code en dehors d'un environnement isolé

Dans un correctif publié il y a quelques heures pour le système de paquets auto-suffisants Flatpak 1.16.4, ainsi que dans la version expérimentale 1.17.4, une vulnérabilité (CVE-2026-34078) a été corrigée, permettant à une application malveillante ou compromise au format flatpak de contourner le mode d'isolation sandbox, d'accéder aux fichiers du système hôte et d'exécuter du code arbitraire en dehors du mode d'isolation. Le problème a été classé comme critique (9.3 sur 10).

La vulnérabilité réside dans le service D-Bus flatpak-portal, qui permet de lancer des « portails » pour gérer l'accès aux ressources de l'environnement principal depuis des applications isolées. Le problème est causé par le fait que le service flatpak-portal permet à une application d'indiquer dans les options sandbox-expose des chemins de fichiers qui, en raison de l'absence de vérifications adéquates, peuvent être des liens symboliques pointant vers des parties arbitraires du système de fichiers.

Avant le montage, le service révèle le lien symbolique et monte dans l'environnement sandbox le chemin auquel il fait référence, ce qui permet de contourner l'isolation et d'accéder en lecture et écriture aux fichiers de l'environnement hôte. Pour exécuter son code dans le système, par exemple, il est possible d'ajouter un script au démarrage tel que « ~/ .bashrc » ou « ~/ .profile », ou de modifier le fichier « ~/ .ssh/authorized_keys » avec des clés SSH.

L'état de correction de la vulnérabilité dans les distributions peut être évalué sur ces pages (si la page est inaccessible, cela signifie que les développeurs de la distribution n'ont pas encore commencé à traiter le problème) : Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Comme mesure de contournement, le service flatpak-portal peut être désactivé : sudo systemctl —global mask flatpak-portal.service && systemctl —user stop flatpak-portal.service.

En plus de cette vulnérabilité critique, trois autres problèmes de sécurité ont été corrigés dans la nouvelle version :

• La possibilité (CVE-2026-34079) de supprimer un fichier arbitraire dans le système de fichiers hôte. Le problème est causé par le fait que flatpak, lors du nettoyage du cache obsolète ld.so, ne vérifie pas la présence effective du fichier à supprimer dans le répertoire du cache.
• La possibilité de lire des fichiers arbitraires dans le contexte system-helper sur des systèmes avec un dépôt d'images OCI configuré, via des manipulations de liens symboliques.
• Possibilité d'interférer avec le traitement des demandes d'annulation de téléchargement d'applications, permettant à un utilisateur d'empêcher un autre utilisateur d'arrêter le téléchargement.

Source : opennet.ru