Nella versione correttiva pubblicata alcune ore fa del sistema di pacchetti autonomi Flatpak 1.16.4, e nella versione sperimentale 1.17.4, è stata corretta una vulnerabilità (CVE-2026-34078) che consente a un'applicazione flatpak dannosa o compromessa di bypassare la modalità di isolamento sandbox, accedere ai file nel sistema principale e eseguire codice arbitrario al di fuori della modalità di isolamento. Il problema è stato classificato come critico (9.3 su 10).
La vulnerabilità è presente nel servizio D-Bus flatpak-portal, che consente l'avvio di "portali" utilizzati per organizzare l'accesso alle risorse dell'ambiente principale dalle applicazioni isolate. Il problema è causato dal fatto che il servizio flatpak-portal permette all'applicazione di specificare nei parametri sandbox-expose i percorsi dei file, che, a causa dell'assenza di controlli adeguati, possono essere collegamenti simbolici che puntano a parti arbitrarie del filesystem.
Prima del montaggio, il servizio rivela il collegamento simbolico e monta nell'ambiente sandbox il percorso a cui esso punta, consentendo di bypassare l'isolamento e ottenere accesso in lettura e scrittura ai file dell'ambiente host. Per eseguire il proprio codice nel sistema, ad esempio, è possibile aggiungere uno script di avvio automatico, come "~/.bashrc" o "~/.profile", o modificare il file "~/.ssh/authorized_keys" con le chiavi SSH.
Lo stato di risoluzione della vulnerabilità nelle distribuzioni può essere valutato nelle seguenti pagine (se la pagina non è disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Come soluzione di protezione temporanea, è possibile disabilitare il servizio flatpak-portal: sudo systemctl —global mask flatpak-portal.service && systemctl —user stop flatpak-portal.service
Oltre alla vulnerabilità critica, nella nuova versione sono state risolte altre tre problematiche di sicurezza:
- Possibilità (CVE-2026-34079) di eliminazione di file arbitrari nel filesystem del sistema host. Il problema è causato dal fatto che flatpak, durante la pulizia della cache obsoleta ld.so, non verifica l'effettiva presenza del file da eliminare nella directory della cache.
- Possibilità di lettura di file arbitrari nel contesto di system-helper su sistemi con un repository di immagini OCI configurato tramite manipolazioni con collegamenti simbolici.
- Possibilità di intervenire nell'elaborazione delle richieste di annullamento del download delle applicazioni, permettendo a un utente di impedire a un altro utente di interrompere il download.
Fonte: opennet.ru
