{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans Flatpak permettant d'ex\u00e9cuter du code en dehors d'un environnement isol\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans un correctif publi\u00e9 il y a quelques heures pour le syst\u00e8me de paquets auto-suffisants Flatpak 1.16.4, ainsi que dans la version exp\u00e9rimentale 1.17.4, une vuln\u00e9rabilit\u00e9 (CVE-2026-34078) a \u00e9t\u00e9 corrig\u00e9e, permettant \u00e0 une application malveillante ou compromise au format flatpak de contourner le mode d'isolation sandbox, d'acc\u00e9der aux fichiers du syst\u00e8me h\u00f4te et d'ex\u00e9cuter du code arbitraire en dehors du mode d'isolation. Le probl\u00e8me a \u00e9t\u00e9 class\u00e9 comme critique (9.3 sur 10). <\/p>\n
La vuln\u00e9rabilit\u00e9 existe dans le service D-Bus flatpak-portal, qui permet le lancement de 'portails' utilis\u00e9s pour acc\u00e9der aux ressources de l'environnement h\u00f4te \u00e0 partir d'applications isol\u00e9es. Le probl\u00e8me est caus\u00e9 par le fait que le service flatpak-portal permet \u00e0 l'application de sp\u00e9cifier dans l'option sandbox-expose des chemins de fichiers qui, en raison de l'absence de v\u00e9rifications ad\u00e9quates, peuvent \u00eatre des liens symboliques pointant vers des parties arbitraires du syst\u00e8me de fichiers. <\/p>\n
Avant de monter, le service r\u00e9v\u00e8le le lien symbolique et monte dans l'environnement sandbox le chemin qu'il d\u00e9signe, permettant ainsi de contourner l'isolation et d'acc\u00e9der en lecture et \u00e9criture aux fichiers de l'environnement h\u00f4te. Pour ex\u00e9cuter son propre code dans le syst\u00e8me, par exemple, on peut ajouter un script \u00e0 ex\u00e9cution automatique, tel que '~\/.bashrc' ou '~\/.profile', ou modifier le fichier '~\/.ssh\/authorized_keys' avec des cl\u00e9s SSH. <\/p>\n
Le statut de correction de la vuln\u00e9rabilit\u00e9 dans les distributions peut \u00eatre \u00e9valu\u00e9 sur ces pages (si la page est inaccessible, cela signifie que les d\u00e9veloppeurs de la distribution n'ont pas encore commenc\u00e9 \u00e0 examiner le probl\u00e8me) : Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Comme solution temporaire de protection, il est possible de d\u00e9sactiver le service flatpak-portal : sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
En plus de cette vuln\u00e9rabilit\u00e9 critique, trois autres probl\u00e8mes de s\u00e9curit\u00e9 ont \u00e9t\u00e9 corrig\u00e9s dans la nouvelle version : <\/p>\n
\n
La possibilit\u00e9 (CVE-2026-34079) de supprimer un fichier arbitraire dans le syst\u00e8me de fichiers h\u00f4te. Le probl\u00e8me est caus\u00e9 par le fait que flatpak, lors du nettoyage du cache obsol\u00e8te ld.so, ne v\u00e9rifie pas la pr\u00e9sence effective du fichier \u00e0 supprimer dans le r\u00e9pertoire du cache.\n
La possibilit\u00e9 de lire des fichiers arbitraires dans le contexte system-helper sur des syst\u00e8mes avec un d\u00e9p\u00f4t d'images OCI configur\u00e9, via des manipulations de liens symboliques.\n
Possibilit\u00e9 d'interf\u00e9rer avec le traitement des demandes d'annulation de t\u00e9l\u00e9chargement d'applications, permettant \u00e0 un utilisateur d'emp\u00eacher un autre utilisateur d'arr\u00eater le t\u00e9l\u00e9chargement. <\/ul>\n