{"id":115168,"date":"2024-04-19T02:30:08","date_gmt":"2024-04-19T00:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu"},"modified":"2024-04-19T02:30:08","modified_gmt":"2024-04-19T00:30:08","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","title":{"rendered":"Vulnerabilit\u00e0 in flatpak che consente di aggirare l'isolamento sandbox","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel toolkit Flatpak, progettato per creare pacchetti autonomi, non legati a specifiche distribuzioni Linux e isolati dal resto del sistema, \u00e8 stata identificata una vulnerabilit\u00e0 (CVE-2024-32462). Questa vulnerabilit\u00e0 consente a un'applicazione malevola o compromessa, fornita in un pacchetto flatpak, di bypassare il sandboxing e accedere ai file nel sistema principale. Il problema si verifica solo nei pacchetti che utilizzano i portali Freedesktop (xdg-desktop-portal), impiegati per accedere alle risorse dell'ambiente utente da applicazioni isolate. La vulnerabilit\u00e0 \u00e8 stata risolta negli aggiornamenti correttivi flatpak 1.15.8, 1.14.6, 1.12.9 e 1.10.9. \u00c8 stata anche proposta una soluzione alternativa per la protezione nelle versioni xdg-desktop-portal 1.16.1 e 1.18.4. <\/p>\n
Grazie a questa vulnerabilit\u00e0, un'applicazione in un ambiente isolato pu\u00f2 utilizzare l'interfaccia xdg-desktop-portal per creare un file «.desktop» con il comando di avvio dell'applicazione da flatpak, consentendo l'accesso ai file del sistema principale. Per uscire dall'ambiente isolato vengono effettuate manipolazioni con il parametro «—command», utilizzato per passare il nome del programma all'interno del pacchetto flatpak che si desidera avviare nell'ambiente isolato. Per configurare l'ambiente isolato, flatpak chiama l'utility bwrap, passando il nome del programma specificato. Ad esempio, per avviare l'utility ls in un ambiente isolato del pacchetto si pu\u00f2 utilizzare la costruzione «flatpak run —command=ls org.gnome.gedit» che porter\u00e0 all'esecuzione di «bwrap <parametri_isolamento> ls». <\/p>\n
La sostanza della vulnerabilit\u00e0 \u00e8 che se il nome del programma inizia con i caratteri «—«, esso verr\u00e0 considerato dall'utility bwrap come una propria opzione. Ad esempio, l'esecuzione di «flatpak run —command=—bind org.gnome.gedit \/ \/host ls -l \/host» porter\u00e0 all'esecuzione di «bwrap <parametri_isolamento> —bind \/ \/host ls -l \/host», ovvero il nome «—bind» sar\u00e0 trattato non come il nome dell'applicazione da avviare, ma come un'opzione di bwrap. <\/p>\n
La vulnerabilit\u00e0 \u00e8 aggravata dal fatto che l'interfaccia D-Bus «org.freedesktop.portal.Background.RequestBackground» consente a un'applicazione del pacchetto Flatpak di specificare qualsiasi comando da eseguire tramite «flatpak run —command», inclusi quelli che iniziano con il carattere «—«. Si presumeva che il passaggio di qualsiasi comando non fosse pericoloso, poich\u00e9 sarebbero stati eseguiti in un ambiente isolato del pacchetto. Tuttavia, non si era considerato che i comandi che iniziano con «—» sarebbero stati trattati come opzioni dall'utility bwrap. Di conseguenza, l'interfaccia xdg-desktop-portal pu\u00f2 essere utilizzata per creare un file «.desktop» con un comando che sfrutta la vulnerabilit\u00e0. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"