Nell'uscita correttiva rilasciata alcune ore fa del sistema di pacchetti autonomi Flatpak 1.16.4, nonché nell'uscita sperimentale 1.17.4, è stata risolta una vulnerabilità (CVE-2026-34078) che consente a un'applicazione flatpak dannosa o compromessa di eludere la modalità sandbox di isolamento, accedere ai file nel sistema principale ed eseguire codice arbitrario al di fuori della modalità di isolamento. Il problema ha ricevuto un livello di gravità critico (9.3 su 10).
La vulnerabilità è presente nel servizio D-Bus flatpak-portal, che gestisce l'avvio dei «portali» utilizzati per l'accesso alle risorse dell'ambiente principale dalle applicazioni isolate. Il problema è causato dal fatto che il servizio flatpak-portal consente all'applicazione di specificare nei parametri sandbox-expose percorsi di file che, a causa della mancanza di verifiche adeguate, possono essere link simbolici che puntano a parti arbitrari del filesystem.
Prima di montare, il servizio rivela il collegamento simbolico e monta il percorso a cui punta nell'ambiente sandbox, consentendo di bypassare l'isolamento e di accedere in lettura e scrittura ai file dell'ambiente host. Per eseguire il proprio codice nel sistema, ad esempio, è possibile aggiungere uno script di avvio automatico come «~/.bashrc» o «~/.profile», o modificare il file «~/.ssh/authorized_keys» con le chiavi SSH.
Lo stato della correzione delle vulnerabilità nei pacchetti può essere valutato su queste pagine (se la pagina non è accessibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Come soluzione alternativa di protezione, è possibile disattivare il servizio flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service.
Oltre alla vulnerabilità critica, nella nuova versione sono state risolte altre tre problematiche di sicurezza:
- La possibilità (CVE-2026-34079) di eliminare un file arbitrario nel file system della macchina host. Il problema è causato dal fatto che flatpak, durante la pulizia della cache obsoleta di ld.so, non verifica effettivamente la presenza del file da eliminare nella directory della cache.
- Possibilità di leggere file arbitrari nel contesto di system-helper su sistemi con un repository di immagini OCI configurato tramite manipolazioni di link simbolici.
- Possibilità di interferire con la gestione delle richieste di annullamento del download delle applicazioni, consentendo a un utente di ostacolare un altro utente nell'interrompere il download.
Fonte: opennet.ru
