En ny stabil version av Flatpak-verktyget 1.12 har publicerats, som tillhandah\u00e5ller ett system f\u00f6r att bygga sj\u00e4lvst\u00e4ndiga paket som inte \u00e4r bundna till specifika Linux-distributioner och k\u00f6rs i en speciell container som isolerar applikationen fr\u00e5n resten av systemet. St\u00f6d f\u00f6r att k\u00f6ra Flatpak-paket finns f\u00f6r Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux och Ubuntu. Flatpak-paket inkluderas i Fedora-repositoriet och st\u00f6ds av det inbyggda programmet f\u00f6r applikationshantering GNOME. <\/p>\n
Nyckelfunktioner i Flatpak 1.12: <\/p>\n
Som ett resultat av detta kunde en angripare via utf\u00f6rande av systemanrop relaterade till montering kringg\u00e5 sandbox-isoleringsmekanismen och f\u00e5 full tillg\u00e5ng till inneh\u00e5llet i v\u00e4rdmilj\u00f6n. Utnyttjande av s\u00e5rbarheten \u00e4r endast m\u00f6jligt i paket som ger applikationer direkt tillg\u00e5ng till AF_UNIX-sockets, som exempelvis anv\u00e4nds i Wayland, Pipewire och pipewire-pulse. I version 1.12.0 \u00e5tg\u00e4rdades s\u00e5rbarheten inte helt, varf\u00f6r en uppdatering 1.12.1 sl\u00e4pptes i enlighet med detta. <\/ul>\n
Det \u00e4r viktigt att p\u00e5minna om att Flatpak ger utvecklare av applikationer m\u00f6jlighet att f\u00f6renkla distributionen av sina program, som inte ing\u00e5r i standardf\u00f6rr\u00e5den f\u00f6r distributioner, genom att f\u00f6rbereda en universell container utan att beh\u00f6va skapa separata versioner f\u00f6r varje distribution. Anv\u00e4ndare som v\u00e4rnar om s\u00e4kerhet kan k\u00f6ra tveksamma applikationer i en container som ger \u00e5tkomst endast till n\u00e4tverksfunktioner och anv\u00e4ndarfiler relaterade till applikationen. Anv\u00e4ndare som \u00e4r intresserade av nyheter kan installera de senaste test- och stabila versionerna av applikationer utan att beh\u00f6va g\u00f6ra \u00e4ndringar i systemet. Till exempel byggs Flatpak-paket f\u00f6r LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio etc. <\/p>\n
F\u00f6r att minska paketets storlek ing\u00e5r endast applikationsspecifika beroenden, medan grundl\u00e4ggande system- och grafiska bibliotek (GTK, Qt, GNOME och KDE-bibliotek etc.) presenteras som anslutningsbara standardruntime-milj\u00f6er. Huvudskillnaden mellan Flatpak och Snap \u00e4r att Snap anv\u00e4nder komponenter fr\u00e5n det underliggande systemet och isolering baserat p\u00e5 filtrering av systemanrop, medan Flatpak skapar en separat container fr\u00e5n systemet och opererar med stora runtime-satser, vilket tillhandah\u00e5ller standardiserade systemmilj\u00f6er (till exempel alla bibliotek som kr\u00e4vs f\u00f6r att k\u00f6ra GNOME- eller KDE-program). <\/p>\n
F\u00f6rutom den typiska systemmilj\u00f6n (runtime) som installeras via ett s\u00e4rskilt lager, levereras ytterligare beroenden (bundle) som kr\u00e4vs f\u00f6r att applikationen ska fungera. Tillsammans utg\u00f6r runtime och bundle inneh\u00e5llet i containern, d\u00e4r runtime installeras separat och kan kopplas till flera containrar, vilket f\u00f6rhindrar duplicering av gemensamma systemfiler f\u00f6r containrar. Flera olika runtime (GNOME, KDE) eller flera versioner av samma runtime (GNOME 3.40, GNOME 3.42) kan installeras p\u00e5 ett system. Containern med applikationen som beroende anv\u00e4nder bindningen endast till en specifik runtime, utan att ta h\u00e4nsyn till de enskilda paketen som utg\u00f6r runtime. Alla saknade element packas tillsammans med applikationen. Vid skapandet av containern monteras inneh\u00e5llet i runtime som delen \/usr, medan bundle monteras i katalogen \/app. <\/p>\n
Inneh\u00e5llet i runtime och applikationscontainrar skapas med hj\u00e4lp av teknologin OSTree, d\u00e4r bilden atom\u00e4rt uppdateras fr\u00e5n ett Git-liknande arkiv, vilket m\u00f6jligg\u00f6r till\u00e4mpning av versionshanteringsmetoder p\u00e5 distributionskomponenter (till exempel kan systemet snabbt \u00e5terst\u00e4llas till ett tidigare tillst\u00e5nd). RPM-paket \u00f6vers\u00e4tts till OSTree-f\u00f6rvaret med hj\u00e4lp av ett s\u00e4rskilt lager rpm-ostree. Separat installation och uppdatering av paket inom arbetsmilj\u00f6n st\u00f6ds inte, systemet uppdateras inte p\u00e5 niv\u00e5n av enskilda komponenter utan helt, och \u00e4ndrar atom\u00e4rt sitt tillst\u00e5nd. Verkyg erbjuds f\u00f6r inkrementell till\u00e4mpning av uppdateringar, vilket eliminerar behovet av att helt byta bild vid varje uppdatering. <\/p>\n
Det isolerade milj\u00f6n som skapas \u00e4r helt oberoende av den anv\u00e4nda distributionen och, vid korrekt paketering, har ingen \u00e5tkomst till anv\u00e4ndarens eller huvudsystemets filer och processer, kan inte direkt interagera med h\u00e5rdvaran, f\u00f6rutom utmatning via DRI, och anrop till n\u00e4tverksystemet. Grafikutmatning och hantering av inmatning realiseras med protokollet Wayland eller genom vidarekoppling av X11-socket. Interaktionen med den externa milj\u00f6n baseras p\u00e5 meddelandebytesystemet DBus och ett s\u00e4rskilt API f\u00f6r Portals. <\/p>\n
F\u00f6r isolering anv\u00e4nds ett lager av Bubblewrap och traditionella Linux-teknologier f\u00f6r containervirtualisering, baserat p\u00e5 anv\u00e4ndningen av cgroups, namnrymder (namespaces), Seccomp och SELinux. F\u00f6r ljud\u00e5tergivning anv\u00e4nds PulseAudio. Isoleringen kan st\u00e4ngas av, vilket utnyttjas av utvecklare av m\u00e5nga popul\u00e4ra paket f\u00f6r att f\u00e5 fullst\u00e4ndig \u00e5tkomst till filsystemet och alla enheter i systemet. Till exempel levereras paket som GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity och VLC med en begr\u00e4nsad isoleringsl\u00e4get som l\u00e4mnar full \u00e5tkomst till hemkatalogen. <\/p>\n