自己完結型の Flatpak 1.14.4、1.12.8、1.10.8、および 1.15.4 ツールキットに対する修正アップデートが利用可能であり、次の XNUMX つの脆弱性が修正されています。
- CVE-2023-28100 - 攻撃者が用意した flatpak パッケージをインストールするときに、TIOCLINUX ioctl の操作を通じて仮想コンソール入力バッファにテキストをコピーして貼り付ける機能。 たとえば、この脆弱性を利用して、サードパーティ パッケージのインストール プロセスが完了した後、コンソールで任意のコマンドを起動できるようになる可能性があります。 この問題は、従来の仮想コンソール (/dev/tty1、/dev/tty2 など) でのみ発生し、xterm、gnome-terminal、Konsole、およびその他のグラフィカル ターミナルのセッションには影響しません。 この脆弱性は flatpak に固有のものではなく、他のアプリケーションの攻撃に使用される可能性があります。たとえば、TIOCSTI ioctl インターフェイスを介した文字置換を可能にする同様の脆弱性が以前に /bin/sandbox と snap で見つかりました。
- CVE-2023-28101 - パッケージ メタデータの権限リストでエスケープ シーケンスを使用して、コマンド ライン インターフェイスを介したパッケージのインストールまたはアップグレード中に、要求された拡張権限についてターミナルに表示される情報を非表示にする機能。 攻撃者はこの脆弱性を利用して、パッケージで使用されている権限についてユーザーを誤解させる可能性があります。 GNOME ソフトウェアや KDE Plasma Discover など、Flatpak パッケージをインストールするためのグラフィカル インターフェイスは影響を受けません。
出所： オープンネット.ru