GNOME projekta izstrādātāji ir izlaiduši Yelp palīdzības lietotnes atjauninājumu, kas novērš ievainojamību, kas ļāva iziet no Flatpak sandbox vides.
Problēma bija saistīta ar ārēju URI apstrādi un Yelp integrācijas īpatnībām ar lietotņu palaišanas mehānismiem. Atverot īpaši sagatavotu dokumentu, uzbrucējs varēja panākt komandu izpildi ārpus sandbox ierobežojumiem, iegūstot piekļuvi lietotāja sistēmai ar pašreizējā lietotāja privilēģijām.
Ievainojamība visvairāk skāra scenārijus, kuros Yelp tika izmantots Flatpak lietotnēs vai tika piegādāts kā daļa no sandbox vides. Attālā izmantošana bija atkarīga no tā, vai lietotājam izdosies atvērt ļaunprātīgu palīdzības failu vai saiti.
Labojums jau ir iekļauts jaunajās Yelp versijās un sāk parādīties sadalījumos. GNOME izstrādātāji arī ir pastiprinājuši URI pārbaudes un ierobežojuši nedrošus ārējo apstrādātāju palaišanas veidus.
Tika norādīts, ka incidents atkal pievērsis uzmanību uz problēmām, kas saistītas ar desktop sandbox mehānismu integrāciju Linux. Neskatoties uz Flatpak izolāciju, kļūdas desktop komponentēs un MIME/URI apstrādātājos joprojām paliek viens no galvenajiem veidiem, kā apiet ierobežojumus.
Avots: linux.org.ru
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish