Atualizações corretivas para a ferramenta de criação de pacotes autossuficientes Flatpak 1.14.4, 1.12.8, 1.10.8 e 1.15.4 estão disponíveis, nas quais foram corrigidas duas vulnerabilidades:
- CVE-2023-28100 — possibilidade de copiar e colar texto no buffer de entrada da console virtual por meio de manipulações com ioctl TIOCLINUX ao instalar um pacote flatpak preparado por um atacante. Por exemplo, a vulnerabilidade pode ser utilizada para executar comandos arbitrários na console após a conclusão do processo de instalação de um pacote de terceiros. O problema se manifesta apenas na console virtual clássica (/dev/tty1, /dev/tty2, etc.) e não afeta sessões em xterm, gnome-terminal, Konsole e outros terminais gráficos. A vulnerabilidade não é específica do flatpak e pode ser usada para atacar outros aplicativos, por exemplo, vulnerabilidades semelhantes anteriormente permitiam a substituição de caracteres através da interface ioctl TIOCSTI, encontradas em /bin/sandbox e snap.
- CVE-2023-28101 — possibilidade de usar sequências de escape na lista de permissões nos metadados do pacote para ocultar informações sobre permissões estendidas solicitadas exibidas no terminal durante a instalação ou atualização do pacote através da interface de linha de comando. Os atacantes podem aproveitar essa vulnerabilidade para enganar os usuários sobre as permissões usadas no pacote. Interfaces gráficas para instalar pacotes Flatpak, como GNOME Software e KDE Plasma Discover, não são afetadas por este problema.
Fonte: opennet.ru
