Rilis patch Flatpak 1.16.4, anu dipedalkeun sababaraha jam ka pengker, sareng rilis ékspériméntal 1.17.4, ngalereskeun kerentanan (CVE-2026-34078) anu ngamungkinkeun aplikasi Flatpak anu jahat atanapi anu dikompromi pikeun ngalangkungan isolasi sandbox, ngaksés file dina sistem host, sareng ngaéksekusi kode acak di luar isolasi sandbox. Masalah ieu parantos dipeunteun kritis (9.3 tina 10).
Karentanan ieu aya dina layanan flatpak-portal D-Bus, anu ngaluncurkeun "portal" anu dianggo pikeun ngaksés sumber daya dina lingkungan utama tina aplikasi anu di-sandbox. Masalah ieu disababkeun ku flatpak-portal anu ngamungkinkeun aplikasi pikeun nangtukeun jalur file dina pilihan sandbox-expose. Kusabab kurangna pamariksaan anu leres, jalur ieu tiasa janten tautan simbolis anu nunjuk ka bagian sistem file anu teu dihoyongkeun.
Sateuacan dipasang, layanan ieu ngalegaan tautan simbolis sareng masang jalur anu ditunjukna dina lingkungan sandbox, ngamungkinkeun anjeun pikeun ngalangkungan isolasi sareng kéngingkeun aksés maca sareng nyerat kana file dina lingkungan host. Pikeun ngajalankeun kode anjeun dina sistem, anjeun tiasa, contona, nambihan skrip autorun sapertos "~/.bashrc" atanapi ~/.profile, atanapi ngarobih file ~/.ssh/authorized_keys nganggo konci SSH anjeun.
Status perbaikan kerentanan pikeun distribusi tiasa dipeunteun dina halaman-halaman ieu (upami halaman éta teu sayogi, éta hartosna pamekar distribusi tacan ngamimitian nalungtik masalahna): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora. Salaku solusi, anjeun tiasa mareuman layanan flatpak-portal: sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service
Salian ti kerentanan kritis, rilis anyar ieu ngabahas tilu masalah kaamanan anu sanés:
- Aya kerentanan ngahapus file anu teu dihaja (CVE-2026-34079) dina sistem file host. Masalah ieu disababkeun ku flatpak anu henteu mastikeun yén file anu dihapus saleresna aya dina diréktori cache nalika ngabersihkeun cache ld.so anu teu dianggo.
- Kamampuh pikeun maca file anu teu puguh dina kontéks pitulung sistem dina sistem anu gaduh gudang gambar OCI anu dikonfigurasi ngalangkungan manipulasi tautan simbolis.
- Kamampuh pikeun ngaganggu pamrosésan pamundut pembatalan unduhan aplikasi, anu ngamungkinkeun hiji pangguna pikeun nyegah pangguna anu sanés ngeureunkeun unduhan.
sumber: opennet.ru
