{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Kwetsbaarheid in Flatpak maakt het mogelijk om code buiten de ge\u00efsoleerde omgeving uit te voeren.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de enkele uren geleden gepubliceerde corrigerende release van het systeem van zelfvoorzienende Flatpak-pakketten 1.16.4, alsook in de experimentele release 1.17.4, is een kwetsbaarheid (CVE-2026-34078) verholpen, die het mogelijk maakt voor een kwaadwillende of gecompromitteerde flatpak-applicatie om de ingestelde sandbox-isolatiemodus te omzeilen, toegang te krijgen tot bestanden in het host-systeem en willekeurige code uit te voeren buiten de isolatiemodus. Deze kwetsbaarheid is geclassificeerd als kritisch (9.3 van 10). <\/p>\n
De kwetsbaarheid is aanwezig in de D-Bus-service flatpak-portal, die \"portals\" mogelijk maakt voor de toegang tot middelen van de hoofdomgeving vanuit ge\u00efsoleerde applicaties. Het probleem wordt veroorzaakt doordat de flatpak-portal service de applicatie toestaat om padopties in sandbox-expose aan te geven, die door gebrek aan adequate controles symbolische links kunnen zijn naar willekeurige delen van het bestandssysteem. <\/p>\n
Voordat de service wordt gemonteerd, onthult deze de symbolische link en monteert het pad waarnaar deze verwijst in de sandbox-omgeving, waardoor de isolatie kan worden omzeild en toegang tot de hostbestanden kan worden verkregen. Om je eigen code in het systeem uit te voeren, kan je bijvoorbeeld een automatisch startend script toevoegen, zoals \"~\/.bashrc\" of \"~\/.profile\", of het bestand \"~\/.ssh\/authorized_keys\" met SSH-sleutels wijzigen. <\/p>\n
De status van het oplossen van de kwetsbaarheid in de distributies kan worden beoordeeld op de volgende pagina's (als de pagina niet beschikbaar is, betekent dit dat de ontwikkelaars van de distributie nog niet aan het probleem zijn begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Als tijdelijke oplossing kan je de flatpak-portal service uitschakelen: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
Naast de kritische kwetsbaarheid zijn er in de nieuwe release nog drie beveiligingsproblemen verholpen: <\/p>\n
\n
De mogelijkheid (CVE-2026-34079) om willekeurige bestanden in het bestandssysteem van het host-systeem te verwijderen. Het probleem wordt veroorzaakt doordat flatpak bij het opschonen van de verouderde ld.so-cache, niet controleert of het te verwijderen bestand zich daadwerkelijk in de cachemap bevindt.\n
De mogelijkheid om willekeurige bestanden te lezen in de context van de system-helper op systemen met een geconfigureerde OCI-image-repository door manipulatie met symbolische links.\n
Mogelijkheid om in te grijpen in de verwerking van verzoeken voor het annuleren van applicatie-downloads, waardoor de ene gebruiker de andere kan beletten om een download te stoppen. <\/ul>\n