Ang mga corrective update sa toolkit ay magagamit upang lumikha ng mga self-contained na Flatpak packages 1.14.4, 1.12.8, 1.10.8 at 1.15.4, na nag-aayos ng dalawang kahinaan:
- CVE-2023-28100 - ang kakayahang kopyahin at palitan ang text sa virtual console input buffer sa pamamagitan ng pagmamanipula ng TIOCLINUX ioctl kapag nag-i-install ng flatpak package na inihanda ng isang attacker. Halimbawa, maaaring gamitin ang kahinaan upang maglunsad ng mga arbitrary na command sa console pagkatapos makumpleto ang proseso ng pag-install ng isang third-party na package. Lumalabas lang ang problema sa classic na virtual console (/dev/tty1, /dev/tty2, atbp.) at hindi nakakaapekto sa mga session sa xterm, gnome-terminal, Konsole at iba pang mga graphical na terminal. Ang kahinaan ay hindi partikular sa flatpak at maaaring gamitin sa pag-atake sa iba pang mga application, halimbawa, ang mga dating katulad na kahinaan na nagpapahintulot sa pagpapalit ng character sa pamamagitan ng interface ng TIOCSTI ioctl ay natagpuan sa /bin/sandbox at snap.
- CVE-2023-28101 - Posibleng gumamit ng mga escape sequence sa isang listahan ng mga pahintulot sa metadata ng package upang itago ang impormasyon ng output ng terminal tungkol sa hiniling na pinalawig na mga pahintulot sa panahon ng pag-install o pag-update ng isang package sa pamamagitan ng interface ng command line. Maaaring samantalahin ng mga umaatake ang kahinaang ito para iligaw ang mga user tungkol sa mga kredensyal na ginamit sa package. Ang mga GUI para sa pag-install ng mga Flatpak package, gaya ng GNOME Software at KDE Plasma Discover, ay hindi apektado ng isyung ito.
Pinagmulan: opennet.ru