{"id":167905,"date":"2026-04-08T11:11:59","date_gmt":"2026-04-08T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya"},"modified":"2026-04-08T11:11:59","modified_gmt":"2026-04-08T09:11:59","slug":"uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-vo-flatpak-pozvolyayushhaya-vypolnit-kod-vne-izolirovannogo-okruzheniya","title":{"rendered":"Vulnerabilidade no Flatpak que permite execu\u00e7\u00e3o de c\u00f3digo fora de um ambiente isolado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na publica\u00e7\u00e3o corrigida de algumas horas atr\u00e1s do sistema de pacotes autossuficientes Flatpak 1.16.4, bem como na vers\u00e3o experimental 1.17.4, foi corrigida uma vulnerabilidade (CVE-2026-34078), que permite a um aplicativo malicioso ou comprometido em formato flatpak contornar o modo de isolamento sandbox, acessar arquivos do sistema principal e executar c\u00f3digo arbitr\u00e1rio fora do modo de isolamento. O problema recebeu um n\u00edvel cr\u00edtico de severidade (9.3 de 10). <\/p>\n
A vulnerabilidade est\u00e1 presente no servi\u00e7o D-Bus flatpak-portal, que garante a execu\u00e7\u00e3o de 'portais' usados para possibilitar o acesso a recursos do ambiente principal a partir de aplicativos isolados. O problema \u00e9 causado pelo fato de que o servi\u00e7o flatpak-portal permite que o aplicativo especifique caminhos de arquivos na op\u00e7\u00e3o sandbox-expose, que, devido \u00e0 falta de verifica\u00e7\u00f5es adequadas, podem ser links simb\u00f3licos apontando para partes arbitr\u00e1rias do sistema de arquivos. <\/p>\n
Antes de montar, o servi\u00e7o revela o link simb\u00f3lico e monta no ambiente sandbox o caminho para o qual ele aponta, permitindo contornar a isolamento e obter acesso de leitura e grava\u00e7\u00e3o aos arquivos do ambiente host. Para executar seu c\u00f3digo no sistema, por exemplo, \u00e9 poss\u00edvel adicionar um script que seja executado automaticamente, como '~\/.bashrc' ou '~\/.profile', ou modificar o arquivo '~\/.ssh\/authorized_keys' com chaves SSH. <\/p>\n
O status de corre\u00e7\u00e3o da vulnerabilidade nas distribui\u00e7\u00f5es pode ser avaliado nas seguintes p\u00e1ginas (se a p\u00e1gina n\u00e3o estiver dispon\u00edvel, isso significa que os desenvolvedores da distribui\u00e7\u00e3o ainda n\u00e3o come\u00e7aram a considerar o problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Como uma solu\u00e7\u00e3o alternativa de seguran\u00e7a, \u00e9 poss\u00edvel desativar o servi\u00e7o flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service <\/p>\n
Al\u00e9m da vulnerabilidade cr\u00edtica, a nova vers\u00e3o corrigiu mais tr\u00eas problemas de seguran\u00e7a: <\/p>\n
\n
A possibilidade (CVE-2026-34079) de exclus\u00e3o de arquivos arbitr\u00e1rios no sistema de arquivos do sistema host. O problema \u00e9 causado pelo fato de que o flatpak, ao limpar o cache obsoleto ld.so, n\u00e3o verifica a localiza\u00e7\u00e3o real do arquivo a ser exclu\u00eddo no diret\u00f3rio do cache.\n
A possibilidade de leitura de arquivos arbitr\u00e1rios no contexto system-helper em sistemas com reposit\u00f3rio de imagens OCI configurado, atrav\u00e9s de manipula\u00e7\u00f5es com links simb\u00f3licos.\n
A capacidade de interferir no processamento de solicita\u00e7\u00f5es de cancelamento de download de aplicativos, permitindo que um usu\u00e1rio impe\u00e7a outro usu\u00e1rio de interromper o download. <\/ul>\n