{"id":115168,"date":"2024-04-19T02:30:08","date_gmt":"2024-04-19T00:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu"},"modified":"2024-04-19T02:30:08","modified_gmt":"2024-04-19T00:30:08","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","title":{"rendered":"Vulnerabilit\u00e0 in flatpak che consente di eludere l'isolamento sandbox","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel toolkit Flatpak, progettato per creare pacchetti autonomi, non legati a specifiche distribuzioni Linux e isolati dal resto del sistema, \u00e8 stata scoperta una vulnerabilit\u00e0 (CVE-2024-32462). Questa vulnerabilit\u00e0 consente a un'applicazione malevola o compromessa, distribuita in un pacchetto flatpak, di eludere il regime di isolamento sandbox e accedere ai file nel sistema principale. Il problema si manifesta solo nei pacchetti che utilizzano i portali Freedesktop (xdg-desktop-portal), impiegati per organizzare l'accesso alle risorse dell'ambiente utente da applicazioni isolate. La vulnerabilit\u00e0 \u00e8 stata risolta negli aggiornamenti correttivi di flatpak 1.15.8, 1.14.6, 1.12.9 e 1.10.9. \u00c8 stata inoltre proposta una soluzione di protezione nelle versioni di xdg-desktop-portal 1.16.1 e 1.18.4. <\/p>\n
Grazie a una vulnerabilit\u00e0, un'applicazione in un ambiente isolato pu\u00f2 utilizzare l'interfaccia xdg-desktop-portal per creare un file «.desktop» con il comando di avvio dell'applicazione da flatpak, consentendo di accedere ai file del sistema principale. Per uscire dall'ambiente isolato si utilizzano manipolazioni con il parametro «—command», utilizzato per passare il nome del programma presente nel pacchetto flatpak, che deve essere avviato in un ambiente isolato. Per configurare l'ambiente isolato, flatpak richiama l'utilit\u00e0 bwrap, passando il nome del programma specificato. Ad esempio, per avviare l'utilit\u00e0 ls in un ambiente isolato del pacchetto, si pu\u00f2 utilizzare la sintassi «flatpak run —command=ls org.gnome.gedit» che porter\u00e0 all'esecuzione di «bwrap <parametri isolamento> ls». <\/p>\n
La natura della vulnerabilit\u00e0 \u00e8 che se il nome del programma inizia con i caratteri «—«, verr\u00e0 interpretato dall'utilit\u00e0 bwrap come opzione propria. Ad esempio, l'esecuzione di «flatpak run —command=—bind org.gnome.gedit \\\/ \\\/host ls -l \\\/host» porter\u00e0 all'esecuzione di «bwrap <parametri isolamento> —bind \\\/ \\\/host ls -l \\\/host», cio\u00e8 il nome «—bind» sar\u00e0 trattato non come il nome dell'applicazione da avviare, ma come un'opzione di bwrap. <\/p>\n
La vulnerabilit\u00e0 \u00e8 aggravata dal fatto che l'interfaccia D-Bus «org.freedesktop.portal.Background.RequestBackground» consente all'applicazione del pacchetto Flatpak di specificare qualsiasi comando da eseguire utilizzando «flatpak run —command», inclusi quelli che iniziano con il simbolo «—«. Si assumeva che il passaggio di qualsiasi comando non fosse pericoloso, poich\u00e9 sarebbero stati eseguiti in un ambiente isolato del pacchetto. Ma non \u00e8 stato considerato che i comandi che iniziano con «—» sarebbero stati trattati come opzioni dall'utilit\u00e0 bwrap. Di conseguenza, l'interfaccia xdg-desktop-portal pu\u00f2 essere utilizzata per creare un file «.desktop» con un comando che sfrutta la vulnerabilit\u00e0. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"