Corrigerende updates zijn beschikbaar voor de toolkits voor het creƫren van zelfvoorzienende Flatpak-pakketten 1.14.4, 1.12.8, 1.10.8 en 1.15.4 waarin twee kwetsbaarheden zijn verholpen:
- CVE-2023-28100 ā de mogelijkheid om tekst te kopiĆ«ren en in te voegen in de invoerbuffer van de virtuele console via manipulaties met ioctl TIOCLINUX bij de installatie van een door een aanvaller voorbereid flatpak-pakket. Deze kwetsbaarheid kan bijvoorbeeld worden gebruikt om willekeurige opdrachten in de console uit te voeren na de voltooiing van het installatieproces van een derde-partij pakket. Het probleem doet zich alleen voor in de klassieke virtuele console (/dev/tty1, /dev/tty2, enz.) en heeft geen impact op sessies in xterm, gnome-terminal, Konsole en andere grafische terminals. De kwetsbaarheid is niet specifiek voor flatpak en kan worden gebruikt om andere applicaties aan te vallen; eerder ontdekte kwetsbaarheden hebben het mogelijk gemaakt om karakters in te voegen via de ioctl-interface TIOCSTI, die te vinden was in /bin/sandbox en snap.
- CVE-2023-28101 ā de mogelijkheid om escape-sequenties in de machtigingslijst in de metadata van het pakket te gebruiken om informatie over de aangevraagde uitgebreide bevoegdheden tijdens de installatie of update van het pakket via de commandoregelinterface te verbergen. Aanvallers kunnen deze kwetsbaarheid misbruiken om gebruikers te misleiden over de bevoegdheden die in het pakket worden gebruikt. Grafische interfaces voor het installeren van Flatpak-pakketten, zoals GNOME Software en KDE Plasma Discover, zijn hier niet vatbaar voor.
Bron: opennet.ru
