V nedávno vydanej oprave systému samostatných balíkov Flatpak 1.16.4 a experimentálnej verzii 1.17.4 bola odstránená zraniteľnosť (CVE-2026-34078), ktorá umožňuje škodlivému alebo skompromitovanému aplikácii vo formáte flatpak obísť nastavený režim sandbox-izolácie, získať prístup k súborom v primárnom systéme a vykonať ľubovoľný kód mimo režimu izolácie. Problém má kritickú úroveň nebezpečenstva (9.3 z 10).
Zraniteľnosť sa nachádza v D-Bus službe flatpak-portal, ktorá zabezpečuje spúšťanie „portálov“, ktoré sa používajú na organizovanie prístupu k zdrojom primárneho prostredia z izolovaných aplikácií. Problém je spôsobený tým, že služba flatpak-portal umožňuje aplikácii zadať v možnosti sandbox-expose súborové cesty, ktoré môžu byť kvôli nedostatočným kontrolám symbolickými odkazmi, ukazujúcimi na ľubovoľné časti FS.
Pred zmontovaním služba odhaľuje symbolický odkaz a zmontuje do sandboxového prostredia cestu, na ktorú ukazuje, čo umožňuje obísť izoláciu a získať prístup na čítanie a zápis k súborom hostiteľského prostredia. Na vykonanie vlastného kódu v systéme je napríklad možné pridať automaticky spúšťaný skript, ako napríklad „~/.bashrc“ alebo „~/.profile“, alebo zmeniť súbor „~/.ssh/authorized_keys“ s kľúčmi SSH.
Stav odstránenia zraniteľnosti v distribúciách je možné zhodnotiť na týchto stránkach (ak je stránka nedostupná, vývojári distribúcie ešte nezačali riešiť problém): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Ako obchádzať ochranu je možné vypnúť službu flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Okrem kritickej zraniteľnosti boli v novej verzii odstránené ešte tri problémy s bezpečnosťou:
- Možnosť (CVE-2026-34079) odstránenia ľubovoľného súboru v súborovom systéme hostiteľského systému. Problém je spôsobený tým, že flatpak pri čistení zastaraného vyrovnávacieho pamäťu ld.so, neoveruje skutočnú existenciu odstraňovaného súboru v priečinku s vyrovnávacou pamäťou.
- Možnosť čítania ľubovoľných súborov v kontexte system-helper na systémoch so nastaveným repozitárom obrazov OCI cez manipulácie so symbolickými odkazmi.
- Možnosť zásahu do spracovania žiadostí na zrušenie sťahovania aplikácií, ktorá umožňuje jednému používateľovi zabrániť druhému používateľovi zastaviť sťahovanie.
Zdroj: opennet.ru
