{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Vulnerabilit\u00e0 in Flatpak che consente l'esecuzione di codice al di fuori dell'ambiente isolato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nell'uscita correttiva rilasciata alcune ore fa del sistema di pacchetti autonomi Flatpak 1.16.4, nonch\u00e9 nell'uscita sperimentale 1.17.4, \u00e8 stata risolta una vulnerabilit\u00e0 (CVE-2026-34078) che consente a un'applicazione flatpak dannosa o compromessa di eludere la modalit\u00e0 sandbox di isolamento, accedere ai file nel sistema principale ed eseguire codice arbitrario al di fuori della modalit\u00e0 di isolamento. Il problema ha ricevuto un livello di gravit\u00e0 critico (9.3 su 10). <\/p>\n
La vulnerabilit\u00e0 \u00e8 presente nel servizio D-Bus flatpak-portal, che facilita l'avvio dei \"portali\" utilizzati per organizzare l'accesso alle risorse dell'ambiente principale da applicazioni isolate. Il problema \u00e8 causato dal fatto che il servizio flatpak-portal consente all'applicazione di specificare nei parametri sandbox-expose i percorsi dei file, che, a causa della mancanza di controlli adeguati, possono essere collegamenti simbolici che puntano a parti arbitrarie del filesystem. <\/p>\n
Prima di montare, il servizio rivela il collegamento simbolico e monta nell'ambiente sandbox il percorso a cui punta, permettendo di aggirare l'isolamento e accedere in lettura e scrittura ai file dell'ambiente host. Per eseguire il proprio codice nel sistema, ad esempio, si pu\u00f2 aggiungere uno script di avvio automatico, come \"~\/.bashrc\" o \"~\/.profile\", o modificare il file \"~\/.ssh\/authorized_keys\" con le chiavi SSH. <\/p>\n
Lo stato di risoluzione della vulnerabilit\u00e0 nei vari distribuzioni pu\u00f2 essere valutato nelle seguenti pagine (se la pagina non \u00e8 disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Come misura di sicurezza alternativa, \u00e8 possibile disabilitare il servizio flatpak-portal: sudo systemctl \u2014global mask flatpak-portal.service && systemctl \u2014user stop flatpak-portal.service. <\/p>\n
Oltre alla vulnerabilit\u00e0 critica, nella nuova versione sono state risolte altre tre problematiche di sicurezza: <\/p>\n
\n
La possibilit\u00e0 (CVE-2026-34079) di eliminare un file arbitrario nel file system della macchina host. Il problema \u00e8 causato dal fatto che flatpak, durante la pulizia della cache obsoleta di ld.so, non verifica effettivamente la presenza del file da eliminare nella directory della cache.\n
Possibilit\u00e0 di leggere file arbitrari nel contesto di system-helper su sistemi con un repository di immagini OCI configurato tramite manipolazioni di link simbolici.\n
Possibilit\u00e0 di interferire con la gestione delle richieste di annullamento del download delle applicazioni, consentendo a un utente di ostacolare un altro utente nell'interrompere il download. <\/ul>\n