Atualizações corretivas do kit de ferramentas estão disponíveis para criar pacotes Flatpak independentes 1.14.4, 1.12.8, 1.10.8 e 1.15.4, que corrigem duas vulnerabilidades:
- CVE-2023-28100 - a capacidade de copiar e substituir texto no buffer de entrada do console virtual por meio da manipulação do ioctl TIOCLINUX ao instalar um pacote flatpak preparado por um invasor. Por exemplo, a vulnerabilidade pode ser usada para iniciar comandos arbitrários no console após a conclusão do processo de instalação de um pacote de terceiros. O problema só aparece no console virtual clássico (/dev/tty1, /dev/tty2, etc.) e não afeta sessões em xterm, gnome-terminal, Konsole e outros terminais gráficos. A vulnerabilidade não é específica do flatpak e pode ser usada para atacar outros aplicativos, por exemplo, vulnerabilidades anteriormente semelhantes que permitiam a substituição de caracteres por meio da interface TIOCSTI ioctl foram encontradas em /bin/sandbox e snap.
- CVE-2023-28101 – É possível usar sequências de escape em uma lista de permissões nos metadados do pacote para ocultar informações de saída do terminal sobre permissões estendidas solicitadas durante a instalação ou atualização de um pacote por meio da interface de linha de comando. Os invasores podem explorar essa vulnerabilidade para enganar os usuários sobre as credenciais usadas no pacote. GUIs para instalação de pacotes Flatpak, como GNOME Software e KDE Plasma Discover, não são afetadas por esse problema.
Fonte: opennet.ru