N\u00eb mjetin Flatpak, i destinuar p\u00ebr krijimin e paketave autonome, t\u00eb pa lidhura me shp\u00ebrndarje t\u00eb ve\u00e7anta Linux dhe t\u00eb izoluar nga sistemi tjet\u00ebr, \u00ebsht\u00eb zbuluar nj\u00eb cenueshm\u00ebri (CVE-2024-32462). Kjo cenueshm\u00ebri lejon nj\u00eb aplikacion t\u00eb keqverifikuar ose t\u00eb komprometuar, i ofruar n\u00eb nj\u00eb paket\u00eb flatpak, t\u00eb anashkaloj\u00eb modin e sken\u00ebs sandbox dhe t\u00eb aksesoj\u00eb skedar\u00ebt n\u00eb sistemin kryesor. Problemi shfaqet vet\u00ebm n\u00eb paketat q\u00eb p\u00ebrdorin portale t\u00eb Freedesktop (xdg-desktop-portal), t\u00eb aplikuara p\u00ebr organizimin e aksesit n\u00eb burimet e ambientit t\u00eb p\u00ebrdoruesit nga aplikacione t\u00eb izoluar. Cenueshm\u00ebria \u00ebsht\u00eb rregulluar me p\u00ebrdit\u00ebsime korrigjuese flatpak 1.15.8, 1.14.6, 1.12.9 dhe 1.10.9. Nj\u00eb rrug\u00eb alternative p\u00ebr mbrojtje \u00ebsht\u00eb propozuar gjithashtu n\u00eb l\u00ebshimet e xdg-desktop-portal 1.16.1 dhe 1.18.4. <\/p>\n
Fal\u00eb vulnerabilitetit, aplikacioni q\u00eb ndodhet n\u00eb nj\u00eb ambient t\u00eb izoluar mund t\u00eb p\u00ebrdor\u00eb interfacin xdg-desktop-portal p\u00ebr t\u00eb krijuar nj\u00eb sked\u00eb «.desktop» me komand\u00ebn e nisjes s\u00eb aplikacionit nga flatpak, duke lejuar qasje n\u00eb skedar\u00ebt e sistemit kryesor. P\u00ebr t\u00eb dal\u00eb nga ambienti i izoluar, p\u00ebrdoren manipulime me parametrin «—command», q\u00eb aplikohet p\u00ebr t\u00eb kaluar emrin e programit, q\u00eb ndodhet brenda paket\u00ebs flatpak, t\u00eb cil\u00ebn duhet ta nis\u00eb n\u00eb ambientin e izoluar. P\u00ebr t\u00eb konfiguruar ambientin e izoluar, flatpak th\u00ebrret utilitarin bwrap, duke i kaluar emrin e programit t\u00eb specifikuar. P\u00ebr shembull, p\u00ebr t\u00eb nisur utilitarin ls n\u00eb ambientin e paket\u00ebs, mund t\u00eb p\u00ebrdoret struktura «flatpak run —command=ls org.gnome.gedit» e cila do t\u00eb \u00e7oj\u00eb n\u00eb ekzekutimin e «bwrap <parametrat_e_izolimit> ls». <\/p>\n
Thelbi i vulnerabilitetit \u00ebsht\u00eb se, n\u00ebse emri i programit fillon me simbolet «—«, ai do t\u00eb perceptohet nga utilitari bwrap si nj\u00eb opsion i tij. P\u00ebr shembull, nisja e «flatpak run —command=—bind org.gnome.gedit \/ \/host ls -l \/host» do t\u00eb \u00e7oj\u00eb n\u00eb ekzekutimin e «bwrap <parametrat_e_izolimit> —bind \/ \/host ls -l \/host», pra emri «—bind» do t\u00eb p\u00ebrpunoj\u00eb, jo si em\u00ebr t\u00eb aplikacionit q\u00eb po niset, por si opsion t\u00eb bwrap. <\/p>\n
Vulnerabiliteti p\u00ebrkeq\u00ebsohet nga fakti q\u00eb interfaci D-Bus «org.freedesktop.portal.Background.RequestBackground» lejon q\u00eb nj\u00eb aplikacion nga paketa Flatpak t\u00eb specifikoj\u00eb \u00e7do komand\u00eb p\u00ebr t'u ekzekutuar me «flatpak run —command», p\u00ebrfshir\u00eb ato q\u00eb fillojn\u00eb me simbolin «—«. Kjo n\u00ebnkuptonte q\u00eb kalimi i komandave t\u00eb ndryshme nuk \u00ebsht\u00eb i rreziksh\u00ebm, pasi ato do t\u00eb ekzekutoheshin n\u00eb nj\u00eb ambient t\u00eb izoluar t\u00eb paket\u00ebs. Por nuk ishte marr\u00eb parasysh se komandat q\u00eb fillojn\u00eb me «—» do t\u00eb p\u00ebrpunoheshin si opsione nga utilitari bwrap. Si rezultat, interfaci xdg-desktop-portal mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb krijuar nj\u00eb sked\u00eb «.desktop» me nj\u00eb komand\u00eb q\u00eb shfryt\u00ebzon vulnerabilitetin. \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"