Utvecklarna av GNOME-projektet har slÀppt en uppdatering av hjÀlpappen Yelp, som ÄtgÀrdar en sÄrbarhet som gjorde det möjligt att lÀmna Flatpak-sandboxmiljön.
Problemet var kopplat till hanteringen av externa URI:er och sÀrskilda aspekter av Yelps integrering med programstartsmekanismer. NÀr en speciellt förberedd dokument öppnades kunde en angripare utföra kommandon utanför sandboxens begrÀnsningar och fÄ tillgÄng till anvÀndarsystemet med aktuella anvÀndarrÀttigheter.
SÄrbarheten pÄverkade frÀmst scenarier dÀr Yelp anvÀndes inom Flatpak-appar eller levererades som en del av sandbox-miljön. Möjligheten till fjÀrrutnyttjande berodde pÄ om anvÀndaren kunde tvingas att öppna en skadlig hjÀlpfil eller lÀnk.
Fixen Àr redan inkluderad i de nya versionerna av Yelp och börjar dyka upp i distributionspaket. Utvecklarna av GNOME har ocksÄ ökat kontrollerna av URI:er och begrÀnsat osÀkra sÀtt att starta externa hanterare.
Det pÄpekas sÀrskilt att incidenten Äterigen har dragit uppmÀrksamhet till problemen med integrationen av sandbox-mekanismer i Linux. Trots isoleringen av Flatpak fortsÀtter fel inom desktopkomponenter och MIME/URI-hanterare att vara ett av de mest centrala sÀtten att kringgÄ begrÀnsningar.
KĂ€lla: linux.org.ru
