Na publicação corrigida de algumas horas atrás do sistema de pacotes autossuficientes Flatpak 1.16.4, bem como na versão experimental 1.17.4, foi corrigida uma vulnerabilidade (CVE-2026-34078), que permite a um aplicativo malicioso ou comprometido em formato flatpak contornar o modo de isolamento sandbox, acessar arquivos do sistema principal e executar código arbitrário fora do modo de isolamento. O problema recebeu um nível crítico de severidade (9.3 de 10).
A vulnerabilidade está presente no serviço D-Bus flatpak-portal, que gerencia a execução de 'portais' utilizados para organizar o acesso a recursos do ambiente principal a partir de aplicativos isolados. O problema é causado pelo fato de que o serviço flatpak-portal permite que o aplicativo especifique caminhos de arquivos na opção sandbox-expose, que, devido à falta de verificações adequadas, podem ser links simbólicos apontando para partes arbitrárias do sistema de arquivos.
Antes de montar, o serviço revela o link simbólico e monta no ambiente sandbox o caminho que ele aponta, permitindo contornar o isolamento e obter acesso de leitura e gravação a arquivos do ambiente host. Para executar seu próprio código no sistema, por exemplo, pode-se adicionar um script a ser executado automaticamente, como '~/.bashrc' ou '~/.profile', ou alterar o arquivo '~/.ssh/authorized_keys' com chaves SSH.
O status da correção da vulnerabilidade nos distribuições pode ser avaliadas nas seguintes páginas (se a página não estiver disponível, significa que os desenvolvedores da distribuição ainda não começaram a abordar o problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Como uma medida de proteção alternativa, é possível desativar o serviço flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Além da vulnerabilidade crítica, a nova versão corrigiu mais três problemas de segurança:
- A possibilidade (CVE-2026-34079) de exclusão de arquivos arbitrários no sistema de arquivos do sistema host. O problema é causado pelo fato de que o flatpak, ao limpar o cache obsoleto ld.so, não verifica a localização real do arquivo a ser excluído no diretório do cache.
- A possibilidade de leitura de arquivos arbitrários no contexto system-helper em sistemas com repositório de imagens OCI configurado, através de manipulações com links simbólicos.
- A capacidade de interferir no processamento de solicitações de cancelamento de download de aplicativos, permitindo que um usuário impeça outro usuário de interromper o download.
Fonte: opennet.ru
