Utviklerne av GNOME-prosjektet har utgitt en oppdatering av hjelpeprogrammet Yelp, som løser en sårbarhet som gjorde det mulig å bryte ut av Flatpak-sandboxen.
Problemet var knyttet til behandling av eksterne URI-er og hvordan Yelp integreres med applikasjonsstartmekanismene. Når en spesielt tilrettelagt dokument åpnes, kan angriperen oppnå å utføre kommandoer utenfor sandboxens begrensninger og få tilgang til brukerens system med privilegier til den nåværende brukeren.
Sårbarheten berørte først og fremst scenarier der Yelp ble brukt i Flatpak-applikasjoner eller levert som en del av et sandbox-miljø. Muligheten for ekstern utnyttelse avhang av hvorvidt brukeren ble lurt til å åpne en ondsinnet hjelpefil eller lenke.
Fiksen er allerede inkludert i nye versjoner av Yelp og begynner å bli tilgjengelig i distribusjonspakker. Utviklerne av GNOME har også styrket URI-sjekkene og begrenset usikre måter å starte eksterne behandlere på.
Det blir også bemerket at hendelsen igjen har trukket oppmerksomhet mot problemene med desktop-integrasjonen av sandbox-mekanismer i Linux. Til tross for isoleringen av Flatpak, forblir feil i desktop-komponenter og MIME/URI-behandlere en av de viktigste måtene å omgå begrensningene på.
Kilde: linux.org.ru
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish