Dostupno je ažuriranje alata za izradu samodostatnih paketa Flatpak 1.10.2, koje ispravlja ranjivost (CVE-2021-21381) koja omogućava autoru paketa s aplikacijom da zaobiđe postavljeni režim sandbox izolacije i pristupi datotekama u glavnom sustavu. Problem se javlja od izdanja 0.9.4.
Ranjivost je uzrokovana greškom u implementaciji funkcije preusmjeravanja pristupa datoteci („file forwarding”), koja omogućava manipulacijom .desktop datotekom pristup resursima u vanjskom datotečnom sustavu, kojima je zabranjen pristup pokrenutom aplikacijom. Kada se dodaju datoteke s oznakama „@@” i „@@u” u polje Exec, flatpak će smatrati da su navedene ciljne datoteke izričito specificirane od strane korisnika i automatski će dozvoliti pristup tim datotekama u sandboxu. Ranjivost mogu iskoristiti autori zlonamjernih paketa kako bi osigurali pristup vanjskim datotekama, unatoč vidljivosti pokretanja u režimu izolacije.
Izvor: opennet.ru
