Ir pieejami rīkkopas koriģējošie atjauninājumi, lai izveidotu autonomas Flatpak pakotnes 1.14.4, 1.12.8, 1.10.8 un 1.15.4, kas novērš divas ievainojamības:
- CVE-2023-28100 — iespēja kopēt un aizstāt tekstu virtuālās konsoles ievades buferī, manipulējot ar TIOCLINUX ioctl, instalējot uzbrucēja sagatavotu flatpak pakotni. Piemēram, ievainojamību var izmantot, lai konsolē palaistu patvaļīgas komandas pēc trešās puses pakotnes instalēšanas procesa pabeigšanas. Problēma parādās tikai klasiskajā virtuālajā konsolē (/dev/tty1, /dev/tty2 utt.) un neietekmē sesijas xterm, gnome-terminal, Konsole un citos grafiskajos termināļos. Ievainojamība nav raksturīga flatpak, un to var izmantot, lai uzbruktu citām lietojumprogrammām, piemēram, iepriekš līdzīgas ievainojamības, kas ļāva veikt rakstzīmju aizstāšanu, izmantojot TIOCSTI ioctl saskarni, tika atrastas mapē /bin/sandbox un snap.
- CVE-2023-28101 — pakotnes metadatos atļauju sarakstā ir iespējams izmantot atsoļa secības, lai paslēptu termināļa izvades informāciju par pieprasītajām paplašinātajām atļaujām pakotnes instalēšanas vai atjaunināšanas laikā, izmantojot komandrindas saskarni. Uzbrucēji var izmantot šo ievainojamību, lai maldinātu lietotājus par pakotnē izmantotajiem akreditācijas datiem. Šī problēma neietekmē Flatpak pakotņu, piemēram, GNOME Software un KDE Plasma Discover, instalēšanas GUI.
Avots: opennet.ru