Une nouvelle version stable de l'outil Flatpak 1.12 a \u00e9t\u00e9 publi\u00e9e, fournissant un syst\u00e8me pour la construction de paquets autonomes, non li\u00e9s \u00e0 des distributions Linux sp\u00e9cifiques et ex\u00e9cut\u00e9s dans un conteneur sp\u00e9cial isolant l'application du reste du syst\u00e8me. Le support pour l'ex\u00e9cution des paquets Flatpak est assur\u00e9 pour Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux et Ubuntu. Les paquets Flatpak sont inclus dans le d\u00e9p\u00f4t Fedora et sont pris en charge par l'outil de gestion d'applications GNOME. <\/p>\n
Les principales nouveaut\u00e9s de la version Flatpak 1.12 : <\/p>\n
En cons\u00e9quence, un attaquant pouvant ex\u00e9cuter des appels syst\u00e8me de montage pourrait contourner le m\u00e9canisme d'isolation des sandboxes et obtenir un acc\u00e8s complet au contenu de l'environnement h\u00f4te. L'exploitation de la vuln\u00e9rabilit\u00e9 n'\u00e9tait possible que dans les paquets fournissant un acc\u00e8s direct aux sockets AF_UNIX, qui sont utilis\u00e9s par exemple dans Wayland, Pipewire et pipewire-pulse. Dans la version 1.12.0, la vuln\u00e9rabilit\u00e9 n'a pas \u00e9t\u00e9 compl\u00e8tement corrig\u00e9e, ce qui a conduit \u00e0 la publication rapide de la mise \u00e0 jour 1.12.1. <\/ul>\n
Rappelons que Flatpak permet aux d\u00e9veloppeurs d'applications de simplifier la diffusion de leurs programmes, qui ne font pas partie des d\u00e9p\u00f4ts standard des distributions, en pr\u00e9parant un conteneur universel sans avoir \u00e0 cr\u00e9er des compilations s\u00e9par\u00e9es pour chaque distribution. Pour les utilisateurs soucieux de s\u00e9curit\u00e9, Flatpak permet d'ex\u00e9cuter une application suspecte dans un conteneur, en ne fournissant que l'acc\u00e8s aux fonctions r\u00e9seau et aux fichiers de l'utilisateur li\u00e9s \u00e0 l'application. Pour les utilisateurs int\u00e9ress\u00e9s par les nouveaut\u00e9s, Flatpak permet d'installer les derni\u00e8res versions test et stables des applications sans avoir besoin de modifier le syst\u00e8me. Par exemple, les paquets Flatpak sont disponibles pour LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, etc. <\/p>\n
Pour r\u00e9duire la taille du paquet, il comprend uniquement les d\u00e9pendances sp\u00e9cifiques \u00e0 l'application, tandis que les biblioth\u00e8ques syst\u00e8me et graphiques de base (GTK, Qt, biblioth\u00e8ques GNOME et KDE, etc.) sont pr\u00e9sent\u00e9es sous forme d'environnements d'ex\u00e9cution modulaires. La principale diff\u00e9rence entre Flatpak et Snap est que Snap utilise des composants de l'environnement du syst\u00e8me principal et une isolation bas\u00e9e sur la filtration des appels syst\u00e8me, tandis que Flatpak cr\u00e9e un conteneur s\u00e9par\u00e9 du syst\u00e8me et fonctionne avec de grands ensembles d'ex\u00e9cution, fournissant non pas des paquets comme d\u00e9pendances mais des environnements syst\u00e8me modulaires (par exemple, toutes les biblioth\u00e8ques n\u00e9cessaires au fonctionnement des programmes GNOME ou KDE). <\/p>\n
En plus de l'environnement syst\u00e8me standard (runtime) install\u00e9 via un d\u00e9p\u00f4t sp\u00e9cial, des d\u00e9pendances suppl\u00e9mentaires (bundle) requises pour le fonctionnement de l'application sont fournies. Ensemble, le runtime et le bundle forment le contenu du conteneur, le runtime \u00e9tant install\u00e9 s\u00e9par\u00e9ment et li\u00e9 \u00e0 plusieurs conteneurs, ce qui permet d'\u00e9viter la duplication des fichiers syst\u00e8me communs aux conteneurs. Plusieurs runtimes diff\u00e9rents (GNOME, KDE) ou plusieurs versions d'un m\u00eame runtime (GNOME 3.40, GNOME 3.42) peuvent \u00eatre install\u00e9s sur un seul syst\u00e8me. Le conteneur de l'application, en tant que d\u00e9pendance, utilise la liaison uniquement \u00e0 un runtime sp\u00e9cifique, sans tenir compte des paquets distincts qui composent le runtime. Tous les \u00e9l\u00e9ments manquants sont empaquet\u00e9s directement avec l'application. Lors de la cr\u00e9ation du conteneur, le contenu du runtime est mont\u00e9 comme la partition \/usr, tandis que le bundle est mont\u00e9 dans le r\u00e9pertoire \/app. <\/p>\n
Le contenu des runtimes et des conteneurs d'applications est form\u00e9 \u00e0 l'aide de la technologie OSTree, o\u00f9 l'image est mise \u00e0 jour de mani\u00e8re atomique \u00e0 partir d'un d\u00e9p\u00f4t similaire \u00e0 Git, permettant d'appliquer des m\u00e9thodes de contr\u00f4le de version aux composants de la distribution (par exemple, il est possible de revenir rapidement \u00e0 l'\u00e9tat ant\u00e9rieur du syst\u00e8me). Les paquets RPM sont traduits dans le d\u00e9p\u00f4t OSTree \u00e0 l'aide d'une couche interm\u00e9diaire appel\u00e9e rpm-ostree. L'installation et la mise \u00e0 jour s\u00e9par\u00e9es des paquets \u00e0 l'int\u00e9rieur de l'environnement de travail ne sont pas prises en charge, le syst\u00e8me \u00e9tant mis \u00e0 jour non pas au niveau des composants individuels, mais dans son ensemble, changent atomiquement son \u00e9tat. Des moyens sont fournis pour appliquer des mises \u00e0 jour incr\u00e9mentales, \u00e9liminant le besoin de remplacer compl\u00e8tement l'image \u00e0 chaque mise \u00e0 jour. <\/p>\n
L'environnement isol\u00e9 ainsi form\u00e9 est compl\u00e8tement ind\u00e9pendant de la distribution utilis\u00e9e et, avec les param\u00e8tres de paquet appropri\u00e9s, n'a pas acc\u00e8s aux fichiers et processus de l'utilisateur ou du syst\u00e8me principal, ne peut pas acc\u00e9der directement au mat\u00e9riel, sauf pour le rendu via DRI et les appels au sous-syst\u00e8me r\u00e9seau. La sortie graphique et l'organisation de l'entr\u00e9e sont r\u00e9alis\u00e9es \u00e0 l'aide du protocole Wayland ou via le transfert de sockets X11. L'interaction avec l'environnement externe est fond\u00e9e sur un syst\u00e8me de messagerie DBus et une API sp\u00e9ciale Portals. <\/p>\n
Pour l'isolation, une couche de Bubblewrap est utilis\u00e9e, ainsi que des technologies de virtualisation par conteneurs traditionnelles pour Linux, bas\u00e9es sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour la sortie audio, PulseAudio est utilis\u00e9. \u00c0 cet \u00e9gard, l'isolation peut \u00eatre d\u00e9sactiv\u00e9e, ce dont profitent les d\u00e9veloppeurs de nombreux paquets populaires pour obtenir un acc\u00e8s complet au syst\u00e8me de fichiers et \u00e0 tous les dispositifs du syst\u00e8me. Par exemple, des paquets tels que GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity et VLC sont fournis avec un mode d'isolation limit\u00e9, laissant un acc\u00e8s complet au r\u00e9pertoire personnel. <\/p>\n