{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Vulnerabilit\u00e0 in Flatpak che consente l'esecuzione di codice al di fuori dell'ambiente isolato","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella versione correttiva pubblicata alcune ore fa del sistema di pacchetti autonomi Flatpak 1.16.4, e nella versione sperimentale 1.17.4, \u00e8 stata corretta una vulnerabilit\u00e0 (CVE-2026-34078) che consente a un'applicazione flatpak dannosa o compromessa di bypassare la modalit\u00e0 di isolamento sandbox, accedere ai file nel sistema principale e eseguire codice arbitrario al di fuori della modalit\u00e0 di isolamento. Il problema \u00e8 stato classificato come critico (9.3 su 10). <\/p>\n
La vulnerabilit\u00e0 \u00e8 presente nel servizio D-Bus flatpak-portal, che gestisce l'esecuzione dei \"portali\", utilizzati per consentire l'accesso alle risorse dell'ambiente principale da applicazioni isolate. Il problema \u00e8 causato dalla possibilit\u00e0 che il servizio flatpak-portal consenta all'applicazione di specificare nei parametri sandbox-expose percorsi di file che, a causa della mancanza di adeguati controlli, possono essere link simbolici che puntano a parti arbitrari del file system. <\/p>\n
Prima di montare, il servizio rivela il link simbolico e monta nell'ambiente sandbox il percorso a cui punta, permettendo di bypassare l'isolamento e ottenere accesso in lettura e scrittura ai file dell'ambiente host. Per eseguire il proprio codice nel sistema, ad esempio, si pu\u00f2 aggiungere uno script di avvio automatico, come \"~\/.bashrc\" o \"~\/.profile\", o modificare il file \"~\/.ssh\/authorized_keys\" con le chiavi SSH. <\/p>\n
Lo stato di risoluzione della vulnerabilit\u00e0 nelle distribuzioni pu\u00f2 essere valutato sulle seguenti pagine (se la pagina non \u00e8 disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato ad affrontare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Come soluzione temporanea per la protezione, si pu\u00f2 disabilitare il servizio flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
Oltre alla vulnerabilit\u00e0 critica, nella nuova versione sono state risolte altre tre problematiche di sicurezza: <\/p>\n
\n
Possibilit\u00e0 (CVE-2026-34079) di eliminazione di file arbitrari nel filesystem del sistema host. Il problema \u00e8 causato dal fatto che flatpak, durante la pulizia della cache obsoleta ld.so, non verifica l'effettiva presenza del file da eliminare nella directory della cache.\n
Possibilit\u00e0 di lettura di file arbitrari nel contesto di system-helper su sistemi con un repository di immagini OCI configurato tramite manipolazioni con collegamenti simbolici.\n
Possibilit\u00e0 di intervenire nell'elaborazione delle richieste di annullamento del download delle applicazioni, permettendo a un utente di impedire a un altro utente di interrompere il download. <\/ul>\n