Nel toolkit Flatpak, progettato per creare pacchetti autonomi, non legati a specifiche distribuzioni Linux e isolati dal resto del sistema, è stata identificata una vulnerabilità (CVE-2024-32462). Questa vulnerabilità consente a un'applicazione malevola o compromessa, fornita in un pacchetto flatpak, di bypassare il sandboxing e accedere ai file nel sistema principale. Il problema si verifica solo nei pacchetti che utilizzano i portali Freedesktop (xdg-desktop-portal), impiegati per accedere alle risorse dell'ambiente utente da applicazioni isolate. La vulnerabilità è stata risolta negli aggiornamenti correttivi flatpak 1.15.8, 1.14.6, 1.12.9 e 1.10.9. È stata anche proposta una soluzione alternativa per la protezione nelle versioni xdg-desktop-portal 1.16.1 e 1.18.4.
Grazie a una vulnerabilità, un'applicazione in ambiente isolato può utilizzare l'interfaccia xdg-desktop-portal per creare un file «.desktop» con il comando di avvio dell'applicazione da flatpak, consentendo l'accesso ai file del sistema principale. Per uscire dall'ambiente isolato, si utilizzano manipolazioni con il parametro «—command», applicato per passare il nome del programma dentro il pacchetto flatpak da avviare nell'ambiente isolato. Per configurare l'ambiente isolato, flatpak chiama lo strumento bwrap, passandogli il nome del programma specificato. Ad esempio, per avviare lo strumento ls in un ambiente isolato del pacchetto, si può utilizzare la costruzione «flatpak run —command=ls org.gnome.gedit» che porterà all'esecuzione di «bwrap ls».
La sostanza della vulnerabilità è che se il nome del programma inizia con i caratteri «—«, verrà interpretato dallo strumento bwrap come un'opzione propria. Ad esempio, l'esecuzione di «flatpak run —command=—bind org.gnome.gedit / /host ls -l /host» porterà all'esecuzione di «bwrap —bind / /host ls -l /host», cioè il nome «—bind» sarà trattato non come nome dell'applicazione da avviare, ma come un'opzione di bwrap.
La vulnerabilità è aggravata dal fatto che l'interfaccia D-Bus «org.freedesktop.portal.Background.RequestBackground» consente a un'applicazione del pacchetto Flatpak di specificare qualsiasi comando da eseguire tramite «flatpak run —command», incluso uno che inizia con il carattere «—». Si presumeva che il passaggio di qualsiasi comando non fosse rischioso, poiché sarebbero stati eseguiti in un ambiente isolato del pacchetto. Tuttavia, non si era tenuto conto che i comandi che iniziano con «—» sarebbero stati elaborati come opzioni dall'utilità bwrap. Di conseguenza, l'interfaccia xdg-desktop-portal può essere utilizzata per creare un file «.desktop» con un comando che sfrutta la vulnerabilità.
Fonte: opennet.ru
