עדכון Flatpak 1.10.2 עם תיקון פגיעות בידוד ארגז חול

עדכון מתקן לערכת הכלים ליצירת חבילות עצמאיות Flatpak 1.10.2 זמין, המבטל פגיעות (CVE-2021-21381) המאפשרת למחבר חבילה עם אפליקציה לעקוף את מצב בידוד ארגז החול ולקבל גישה אל קבצים במערכת הראשית. הבעיה מופיעה מאז גרסה 0.9.4.

הפגיעות נגרמת משגיאה ביישום פונקציית העברת הקבצים, המאפשרת באמצעות מניפולציה של קובץ .desktop גישה למשאבים במערכת קבצים חיצונית שאסור לגשת אליהם מהאפליקציה הפועלת. בעת הוספת קבצים עם התגים "@@" ו- "@@u" בשדה Exec, flatpak יניח שקובצי היעד שצוינו צוינו במפורש על ידי המשתמש ותגשת אוטומטית לארגז חול לקבצים אלו. הפגיעות יכולה לשמש מחברי חבילות זדוניות כדי לארגן גישה לקבצים חיצוניים, למרות המראה של ריצה במצב בידוד.

מקור: OpenNet.ru