A nemrégiben, néhány órája közzétett javítókiadásában a Flatpak 1.16.4 önálló csomagok rendszerének, valamint a kísérleti 1.17.4-es kiadásban megszüntették a (CVE-2026-34078) sebezhetőséget, amely lehetővé tette egy rosszindulatú vagy kompromittált flatpak alkalmazás számára, hogy megkerülje a beállított sandox-izolációs módot, hozzáférjen a fájlokhoz a fő rendszerben, és tetszőleges kódot hajtson végre az izolációs módban kívül. A probléma kritikus veszélyességi szintet kapott (9.3 a 10-ből).
A sebezhetőség a flatpak-portal D-Bus szolgáltatásban található, amely a "portálok" indítását biztosítja, amelyeket a fő környezet erőforrásaival való hozzáférés biztosítására használnak izolált alkalmazásokból. A probléma abból adódik, hogy a flatpak-portal szolgáltatás lehetővé teszi az alkalmazás számára, hogy a sandbox-expose opcióban fájlelőutakat adjon meg, amelyek a megfelelő ellenőrzések hiánya miatt szimbolikus linkek lehetnek, amelyek tetszőleges fájlrendszer részekre mutatnak.
A szolgáltatás a csatolás előtt felfedi a szimbolikus linket, és a sandbox-környezetbe csatolja a linkre mutató utat, amely lehetővé teszi az izoláció megkerülését és írási és olvasási hozzáférést biztosít a gazda környezet fájljaihoz. A rendszerben lévő kód végrehajtásának megszervezéséhez például lehetőség van autóindító forgatókönyv hozzáadására, mint például a "~/.bashrc" vagy "~/.profile", vagy a "~/.ssh/authorized_keys" fájl módosítására SSH kulcsokkal.
A sebezhetőség a disztribúciókban való megszüntetésének állapotát az alábbi oldalakon lehet értékelni (ha az oldal nem elérhető, az azt jelenti, hogy a disztribúció fejlesztői még nem kezdtek hozzá a probléma megvizsgálásához): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. A flatpak-portal szolgáltatás letiltásával mint védelmi megoldás, például az alábbi parancsot lehet használni: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
A kritikus sebezhetőségen kívül az új kiadásban még három biztonsági problémát is orvosoltak:
- A lehetőség (CVE-2026-34079) tetszőleges fájl törlésére a gazdarendszer fájlrendszerében. A probléma azzal áll összefüggésben, hogy a flatpak a ld.so elavult gyorsítótárának tisztításakor nem ellenőrzi a törlendő fájl tényleges létezését a gyorsítótár könyvtárában.
- A lehetőség tetszőleges fájlok olvasására a system-helper kontextusában olyan rendszereken, ahol OCI képkatalógus van beállítva, szimbolikus linkek manipulálásával.
- A lehetőség arra, hogy beavatkozzanak az alkalmazások letöltésének megszakítását kérő hírváltozásokba, lehetővé téve egy felhasználónak, hogy megakadályozza egy másik felhasználót a letöltés leállításában.
Forrás: opennet.ru
