Er is een correctieve update beschikbaar voor de toolset voor het maken van zelfvoorzienende Flatpak-pakketten 1.10.2, waarin een kwetsbaarheid (CVE-2021-21381) is verholpen die de auteur van het pakket met de applicatie in staat stelt om de ingestelde sandbox-isolatie te omzeilen en toegang te krijgen tot bestanden in het onderliggende systeem. Het probleem doet zich voor vanaf versie 0.9.4.
De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van de functie voor bestandsomleiding (‘file forwarding’), die het mogelijk maakt om via manipulatie van het .desktop-bestand toegang te krijgen tot bronnen op het externe bestandssysteem waartoe het actieve applicatie geen toegang heeft. Bij het toevoegen van bestanden met de labels ‘@@’ en ‘@@u’ in het veld Exec, beschouwt flatpak de opgegeven doelbestanden als expliciet door de gebruiker opgegeven en verleent het automatisch toegang tot deze bestanden in de sandbox. Deze kwetsbaarheid kan door auteurs van kwaadaardige pakketten worden gebruikt om toegang te krijgen tot externe bestanden, ongeacht de schijn van uitvoering in isolatiemodus.
Bron: opennet.ru
