Foi publicada uma nova vers\u00e3o est\u00e1vel da ferramenta Flatpak 1.12, que oferece um sistema para criar pacotes autossuficientes, n\u00e3o vinculados a distribui\u00e7\u00f5es espec\u00edficas do Linux e executados em um container especial que isola o aplicativo do restante do sistema. O suporte para execu\u00e7\u00e3o de pacotes Flatpak est\u00e1 dispon\u00edvel para Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux e Ubuntu. Os pacotes Flatpak est\u00e3o inclu\u00eddos no reposit\u00f3rio Fedora e s\u00e3o suportados no aplicativo de gerenciamento de software GNOME. <\/p>\n
Principais novidades na vers\u00e3o Flatpak 1.12: <\/p>\n
Assim, um atacante poderia, ao executar chamadas de sistema relacionadas ao montagem, contornar o mecanismo de isolamento sandbox e obter acesso completo ao conte\u00fado do ambiente host. A explora\u00e7\u00e3o da vulnerabilidade \u00e9 poss\u00edvel apenas em pacotes que fornecem acesso direto aos sockets AF_UNIX, que s\u00e3o, por exemplo, utilizados no Wayland, Pipewire e pipewire-pulse. Na vers\u00e3o 1.12.0, a vulnerabilidade n\u00e3o foi totalmente corrigida, portanto, uma atualiza\u00e7\u00e3o 1.12.1 foi lan\u00e7ada imediatamente. <\/ul>\n
Lembramos que o Flatpak oferece aos desenvolvedores de aplicativos a oportunidade de simplificar a distribui\u00e7\u00e3o de seus programas que n\u00e3o est\u00e3o nos reposit\u00f3rios padr\u00e3o das distribui\u00e7\u00f5es, preparando um \u00fanico cont\u00eainer universal sem a necessidade de criar compila\u00e7\u00f5es separadas para cada distribui\u00e7\u00e3o. Para os usu\u00e1rios preocupados com a seguran\u00e7a, o Flatpak permite executar um aplicativo duvidoso em um cont\u00eainer, concedendo acesso apenas \u00e0s funcionalidades de rede e arquivos do usu\u00e1rio relacionados ao aplicativo. Para os usu\u00e1rios interessados em novidades, o Flatpak permite instalar as vers\u00f5es mais recentes de teste e est\u00e1veis dos aplicativos sem a necessidade de fazer altera\u00e7\u00f5es no sistema. Por exemplo, pacotes Flatpak s\u00e3o empacotados para LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio, etc. <\/p>\n
Para reduzir o tamanho do pacote, ele inclui apenas as depend\u00eancias espec\u00edficas do aplicativo, enquanto as bibliotecas de sistema e gr\u00e1ficas b\u00e1sicas (GTK, Qt, bibliotecas GNOME e KDE, etc.) est\u00e3o organizadas em forma de ambientes de execu\u00e7\u00e3o padr\u00e3o plug\u00e1veis. A principal diferen\u00e7a entre Flatpak e Snap \u00e9 que o Snap utiliza componentes do ambiente do sistema principal e isolamento baseado na filtragem de chamadas do sistema, enquanto o Flatpak cria um cont\u00eainer separado do sistema e opera grandes conjuntos de runtime, fornecendo como depend\u00eancias n\u00e3o pacotes, mas ambientes de sistema padr\u00e3o (por exemplo, todas as bibliotecas necess\u00e1rias para o funcionamento de aplicativos GNOME ou KDE). <\/p>\n
Al\u00e9m do ambiente de sistema t\u00edpico (runtime), que \u00e9 instalado atrav\u00e9s de um reposit\u00f3rio especial, s\u00e3o fornecidas depend\u00eancias adicionais (bundle) necess\u00e1rias para o funcionamento do aplicativo. Juntas, o runtime e o bundle formam o conte\u00fado do cont\u00eainer, sendo que o runtime \u00e9 instalado separadamente e associado a v\u00e1rios cont\u00eaineres, evitando a duplica\u00e7\u00e3o de arquivos de sistema comuns aos cont\u00eaineres. V\u00e1rios runtimes diferentes (GNOME, KDE) ou v\u00e1rias vers\u00f5es de um mesmo runtime (GNOME 3.40, GNOME 3.42) podem ser instalados em um \u00fanico sistema. O cont\u00eainer com o aplicativo como depend\u00eancia utiliza o v\u00ednculo apenas a um runtime espec\u00edfico, desconsiderando os pacotes individuais que comp\u00f5em o runtime. Todos os elementos ausentes s\u00e3o empacotados diretamente junto com o aplicativo. Ao formar o cont\u00eainer, o conte\u00fado do runtime \u00e9 montado como a parti\u00e7\u00e3o \/usr, enquanto o bundle \u00e9 montado no diret\u00f3rio \/app. <\/p>\n
O conte\u00fado do runtime e dos cont\u00eaineres de aplicativos \u00e9 formado utilizando a tecnologia OSTree, onde a imagem \u00e9 atualizada de forma at\u00f4mica a partir de um reposit\u00f3rio semelhante ao Git, permitindo a aplica\u00e7\u00e3o de m\u00e9todos de controle de vers\u00e3o aos componentes da distribui\u00e7\u00e3o (por exemplo, \u00e9 poss\u00edvel reverter rapidamente o sistema para um estado anterior). Pacotes RPM s\u00e3o traduzidos para o reposit\u00f3rio OSTree atrav\u00e9s de uma camada especial chamada rpm-ostree. A instala\u00e7\u00e3o e atualiza\u00e7\u00e3o separadas de pacotes dentro do ambiente de trabalho n\u00e3o s\u00e3o suportadas, o sistema \u00e9 atualizado n\u00e3o em n\u00edvel de componentes individuais, mas de forma integral, alterando seu estado de forma at\u00f4mica. Ferramentas s\u00e3o fornecidas para a aplica\u00e7\u00e3o incremental de atualiza\u00e7\u00f5es, evitando a necessidade de substitui\u00e7\u00e3o completa da imagem a cada atualiza\u00e7\u00e3o. <\/p>\n
O ambiente isolado formado \u00e9 completamente independente do sistema de distribui\u00e7\u00e3o utilizado e, sob as devidas configura\u00e7\u00f5es do pacote, n\u00e3o tem acesso aos arquivos e processos do usu\u00e1rio ou do sistema principal, n\u00e3o podendo acessar diretamente o hardware, exceto pela sa\u00edda via DRI, e pelas chamadas ao subsistema de rede. A sa\u00edda gr\u00e1fica e a organiza\u00e7\u00e3o da entrada s\u00e3o implementadas por meio do protocolo Wayland ou atrav\u00e9s do redirecionamento do socket X11. A intera\u00e7\u00e3o com o ambiente externo \u00e9 baseada em um sistema de troca de mensagens DBus e em uma API especial chamada Portals. <\/p>\n
Para isolamento, \u00e9 utilizada uma camada de Bubblewrap e tecnologias tradicionais de virtualiza\u00e7\u00e3o de cont\u00eaineres do Linux, baseadas no uso de cgroups, namespaces, Seccomp e SELinux. Para a sa\u00edda de som, \u00e9 utilizado o PulseAudio. Nesse caso, o isolamento pode ser desativado, o que \u00e9 explorado por desenvolvedores de muitos pacotes populares para obter acesso total ao sistema de arquivos e a todos os dispositivos. Por exemplo, pacotes GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity e VLC s\u00e3o fornecidos com um modo de isolamento restrito que deixa acesso total ao diret\u00f3rio pessoal. <\/p>\n