K dispozícii sú opravné aktualizácie súpravy nástrojov na vytvorenie samostatných balíkov Flatpak 1.14.4, 1.12.8, 1.10.8 a 1.15.4, ktoré opravujú dve zraniteľnosti:
- CVE-2023-28100 - schopnosť kopírovať a nahrádzať text do vyrovnávacej pamäte virtuálnej konzoly prostredníctvom manipulácie s ioctl TIOCLINUX pri inštalácii balíka flatpak pripraveného útočníkom. Zraniteľnosť by sa napríklad mohla použiť na spustenie ľubovoľných príkazov v konzole po dokončení procesu inštalácie balíka tretej strany. Problém sa objavuje iba v klasickej virtuálnej konzole (/dev/tty1, /dev/tty2 atď.) a neovplyvňuje relácie v xterm, gnome-terminal, Konsole a iných grafických termináloch. Zraniteľnosť nie je špecifická pre flatpak a možno ju použiť na útok na iné aplikácie, napríklad predtým podobné zraniteľnosti, ktoré umožňovali nahradenie znakov cez rozhranie TIOCSTI ioctl, boli nájdené v /bin/sandbox a snap.
- CVE-2023-28101 - Na skrytie výstupných informácií terminálu o požadovaných rozšírených povoleniach počas inštalácie alebo aktualizácie balíka cez rozhranie príkazového riadku je možné použiť sekvencie escape v zozname povolení v metadátach balíka. Útočníci by mohli zneužiť túto zraniteľnosť na zavádzanie používateľov o povereniach použitých v balíku. GUI na inštaláciu balíkov Flatpak, ako napríklad GNOME Software a KDE Plasma Discover, nie sú týmto problémom ovplyvnené.
Zdroj: opennet.ru