Доступні коригувальні оновлення інструментарії для створення самодостатніх пакетів Flatpak 1.14.4, 1.12.8, 1.10.8 та 1.15.4 у яких усунуто дві вразливості:
- CVE-2023-28100 - можливість копіювання та підстановки тексту в буфер введення віртуальної консолі через маніпуляції з ioctl TIOCLINUX при встановленні підготовленого зловмисником flatpak-пакета. Наприклад, вразливість може бути використана для організації запуску довільних команд у консолі після завершення процесу інсталяції стороннього пакета. Проблема проявляється тільки в класичній віртуальній консолі (/dev/tty1, /dev/tty2 тощо) і не торкається сеансів у xterm, gnome-terminal, Konsole та інших графічних терміналах. Вразливість не специфічна для flatpak і може бути використана для атаки на інші програми, наприклад, раніше схожі вразливості, що дозволяли виконувати підстановку символів через ioctl-інтерфейс TIOCSTI, знаходили /bin/sandbox і snap.
- CVE-2023-28101 — можливість використання escape-послідовностей у списку повноважень у метаданих пакетах для приховування інформації, що виводиться в термінал, про запитані розширені повноваження під час встановлення або оновлення пакета через інтерфейс командного рядка. Зловмисники можуть скористатися цією вразливістю для введення користувачів в оману про повноваження, що використовуються в пакеті. Графічні інтерфейси для встановлення пакетів Flatpak, такі як GNOME Software і KDE Plasma Discover, не схильні до проблеми.
Джерело: opennet.ru