Nganyari korektif kanggo toolkit kasedhiya kanggo nggawe paket Flatpak sing mandhiri 1.14.4, 1.12.8, 1.10.8 lan 1.15.4, sing ndandani rong kerentanan:
- CVE-2023-28100 - kemampuan kanggo nyalin lan ngganti teks menyang buffer input console virtual liwat manipulasi TIOCLINUX ioctl nalika nginstal paket flatpak sing disiapake dening panyerang. Contone, kerentanan bisa digunakake kanggo ngluncurake perintah sewenang-wenang ing konsol sawise proses instalasi paket pihak katelu wis rampung. Masalah mung katon ing console virtual klasik (/ dev / tty1, / dev / tty2, etc.) lan ora mengaruhi mau ing xterm, gnome-terminal, Konsole lan terminal grafis liyane. Kerentanan ora spesifik kanggo flatpak lan bisa digunakake kanggo nyerang aplikasi liyane, contone, kerentanan sing padha sadurunge sing ngidini substitusi karakter liwat antarmuka ioctl TIOCSTI ditemokake ing / bin / sandbox lan snap.
- CVE-2023-28101 - Sampeyan bisa nggunakake urutan uwal ing dhaptar ijin ing metadata paket kanggo ndhelikake informasi output terminal babagan ijin lengkap sing dijaluk nalika instalasi utawa nganyari paket liwat antarmuka baris printah. Penyerang bisa ngeksploitasi kerentanan iki kanggo nyasarake pangguna babagan kredensial sing digunakake ing paket kasebut. GUI kanggo nginstal paket Flatpak, kayata GNOME Software lan KDE Plasma Discover, ora kena pengaruh masalah iki.
Source: opennet.ru