U alatu Flatpak, namijenjenom za stvaranje samostalnih paketa koji nisu vezani uz specifične Linux distribucije i koji su izolirani od ostatka sustava, otkrivena je ranjivost (CVE-2024-32462). Ova ranjivost omogućuje zlonamjernim ili kompromitiranim aplikacijama isporučenim u flatpak paketu da zaobiđu postavljeni način sandbox izolacije i pristupe datotekama u glavnom sustavu. Problem se javlja samo u paketima koji koriste Freedesktop portale (xdg-desktop-portal), koji se koriste za organizaciju pristupa resursima korisničkog okruženja iz izoliranih aplikacija. Ranjivost je otklonjena u ispravnim ažuriranjima flatpak 1.15.8, 1.14.6, 1.12.9 i 1.10.9. Također je predložen zaobiđeni put za zaštitu u izdanjima xdg-desktop-portal 1.16.1 i 1.18.4.
Zahvaljujući ranjivosti, aplikacija smještena u izoliranom okruženju može koristiti xdg-desktop-portal sučelje za izradu ‘.desktop’ datoteke s naredbom za pokretanje aplikacije iz flatpak-a, koja omogućuje pristup datotekama glavnog sustava. Za izlazak iz izoliranog okruženja koriste se manipulacije s parametrom ‘—command’, koji se koristi za prenošenje imena programa unutar flatpak paketa, kojeg treba pokrenuti u izoliranom okruženju. Za postavljanje izoliranog okruženja flatpak poziva bwrap alat, prosljeđujući mu navedeno ime programa. Na primjer, za pokretanje alata ls u izoliranom okruženju paketa, može se koristiti konstrukcija ‘flatpak run —command=ls org.gnome.gedit’, koja će rezultirati pokretanjem ‘bwrap ls’.
Bit ranjivosti je u tome što ako ime programa počinje znakom '—', bwrap alat će ga protumačiti kao vlastitu opciju. Na primjer, pokretanje ‘flatpak run —command=—bind org.gnome.gedit / /host ls -l /host’ rezultirat će izvršenjem ‘bwrap —bind / /host ls -l /host’, tj. ime ‘—bind’ će biti obrađeno ne kao ime pokretnog programa, nego kao opcija bwrap.
Ranljivost se pogoršava činjenicom da D-Bus sučelje "org.freedesktop.portal.Background.RequestBackground" omogućava aplikacijama iz Flatpak paketa da navedu bilo koju naredbu za izvršavanje pomoću "flatpak run —command", uključujući i one koje počinju s znakom "—". Smatralo se da prenošenje bilo kakvih naredbi nije opasno jer će se izvršavati u izoliranom okruženju paketa. Međutim, nije se uzelo u obzir da će se naredbe koje počinju s "—" obraditi kao opcije od strane bwrap alata. Na kraju, xdg-desktop-portal sučelje može se koristiti za stvaranje "desktop" datoteke s naredbom koja iskorištava ranjivost.
Izvor: opennet.ru
