U objavljenom ispravnom izdanju samoodrživih paketa Flatpak 1.16.4, kao i u eksperimentalnom izdanju 1.17.4, ispravljena je ranjivost (CVE-2026-34078), koja omogućava zloćudnoj ili kompromitiranoj aplikaciji u formatu flatpak da zaobiđe postavljeni režim sandbox izolacije, dobije pristup datotekama u glavnom sustavu i izvrši proizvoljan kod izvan režima izolacije. Problemu je dodijeljena kritična razina opasnosti (9.3 od 10).
Ranjivost se nalazi u D-Bus servisu flatpak-portal, koji osigurava pokretanje "portala", koji se koriste za organizaciju pristupa resursima glavnog okruženja iz izoliranih aplikacija. Problem je uzrokovan time što servis flatpak-portal omogućava aplikaciji da specificira putanje u opcijama sandbox-expose, koje zbog nedostatka adekvatnih provjera mogu biti simboličke veze koje upućuju na proizvoljne dijelove datotečnog sustava.
Prije montiranja, servis otkriva simboličku vezu i montira u sandbox-okruženje putanju na koju ona upućuje, što omogućava zaobilaženje izolacije i pristup za čitanje i pisanje datotekama host-okruženja. Da bi se organiziralo izvršavanje svog koda u sustavu, na primjer, može se dodati automatski pokrenuti skript, poput "~/ .bashrc" ili "~/ .profile", ili promijeniti datoteku "~/ .ssh/authorized_keys" s SSH ključevima.
Status rješenja ranjivosti u distribucijama može se ocijeniti na ovim stranicama (ako stranica nije dostupna, to znači da se programeri distribucije još nisu počeli baviti problemom): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Kao zaobilazno rješenje zaštite, moguće je onemogućiti servis flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Osim kritične ranjivosti, u novom izdanju ispravljena su još tri sigurnosna problema:
- Mogućnost (CVE-2026-34079) brisanja proizvoljne datoteke u datotečnom sustavu host-sustava. Problem je uzrokovan time što flatpak prilikom čišćenja zastarjelog predmemoriranja ld.so ne provjerava stvarno postojanje brisane datoteke u direktoriju s predmemorijom.
- Mogućnost čitanja proizvoljnih datoteka u kontekstu system-helper na sustavima s postavljenim spremištem slika OCI putem manipulacija simboličkim vezama.
- Mogućnost intervencije u obradi zahtjeva za otkazivanje preuzimanja aplikacija, što omogućuje jednom korisniku da ometa drugog korisnika u zaustavljanju preuzimanja.
Izvor: opennet.ru
