{"id":115168,"date":"2024-04-19T02:30:08","date_gmt":"2024-04-19T00:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu"},"modified":"2024-04-19T02:30:08","modified_gmt":"2024-04-19T00:30:08","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-obojti-sandbox-izolyacziyu","title":{"rendered":"Kwetsbaarheid in flatpak die sandbox-isolatie kan omzeilen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de Flatpak-tools, die zijn ontworpen voor het cre\u00ebren van zelfstandige pakketten die niet aan specifieke Linux-distributies zijn gebonden en ge\u00efsoleerd zijn van het resterende systeem, is een kwetsbaarheid ontdekt (CVE-2024-32462). Deze kwetsbaarheid stelt een kwaadaardige of gecompromitteerde toepassing, die wordt geleverd in een flatpak-pakket, in staat om de ingestelde sandbox-isolatiemodus te omzeilen en toegang te krijgen tot bestanden in het hoofdsysteem. Het probleem doet zich alleen voor in pakketten die gebruikmaken van Freedesktop-portals (xdg-desktop-portal), die worden toegepast voor toegang tot bronnen van de gebruikersomgeving vanuit ge\u00efsoleerde toepassingen. De kwetsbaarheid is verholpen in de correctie-updates van flatpak 1.15.8, 1.14.6, 1.12.9 en 1.10.9. Een bypass-oplossing voor bescherming is ook aangeboden in de uitgaves van xdg-desktop-portal 1.16.1 en 1.18.4. <\/p>\n
Door de kwetsbaarheid kan een applicatie die zich in een ge\u00efsoleerde omgeving bevindt, de xdg-desktop-portal-interface gebruiken om een .desktop-bestand aan te maken met de startcommando van een applicatie uit flatpak, waardoor toegang tot de bestanden van het hoofdsysteem mogelijk wordt. Voor het verlaten van de ge\u00efsoleerde omgeving worden manipulaties met de parameter «—command» gebruikt, die wordt toegepast om de naam van het programma dat zich binnen het flatpak-pakket bevindt, door te geven dat moet worden uitgevoerd in de ge\u00efsoleerde omgeving. Voor het instellen van de ge\u00efsoleerde omgeving roept flatpak het bwrap-hulpprogramma aan en geeft het de opgegeven programmaname door. Bijvoorbeeld, om het hulpprogramma ls in de ge\u00efsoleerde omgeving van het pakket uit te voeren, kan de constructie «flatpak run —command=ls org.gnome.gedit» worden gebruikt, wat zal leiden tot de uitvoering van «bwrap <isolatie_parameters> ls». <\/p>\n
De kern van de kwetsbaarheid is dat als de naam van het programma begint met de tekens «—«, het door het hulpprogramma bwrap als een eigen optie zal worden behandeld. Bijvoorbeeld, het uitvoeren van «flatpak run —command=—bind org.gnome.gedit \\\/ \\\/host ls -l \\\/host» zal leiden tot de uitvoering van «bwrap <isolatie_parameters> —bind \\\/ \\\/host ls -l \\\/host», d.w.z. de naam «—bind» zal niet worden verwerkt als de naam van de op te starten applicatie, maar als een optie voor bwrap. <\/p>\n
De kwetsbaarheid wordt verergerd doordat de D-Bus-interface «org.freedesktop.portal.Background.RequestBackground» een Flatpak-applicatie in staat stelt om elke opdracht op te geven voor uitvoering met «flatpak run —command», zelfs beginnend met het teken «—«. Er werd van uitgegaan dat het doorgeven van willekeurige opdrachten onschadelijk was, aangezien deze in de ge\u00efsoleerde omgeving van het pakket zouden worden uitgevoerd. Maar er was niet rekening gehouden met het feit dat opdrachten die beginnen met «—» als opties door het hulpprogramma bwrap zouden worden verwerkt. Als gevolg hiervan kan de xdg-desktop-portal-interface worden gebruikt om een .desktop-bestand aan te maken met een opdracht die de kwetsbaarheid uitbuit. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"