تم إصلاح خطأين في Flatpak مع تحديثات الإصلاح الجديدة

حساسية

إذا تم استغلالها ، يمكن أن تسمح هذه العيوب للمهاجمين بالوصول غير المصرح به إلى المعلومات الحساسة أو التسبب بشكل عام في حدوث مشكلات

كانت مؤخرا تم إصدار تحديثات تصحيحية من مجموعة الأدوات Flatpak للإصدارات المختلفة 1.14.4 و 1.12.8 و 1.10.8 و 1.15.4 ، والمتوفرة بالفعل والتي تحل نقطتين من نقاط الضعف.

بالنسبة لأولئك الذين ليسوا على دراية بـ Flatpak ، يجب أن تعرف أن هذا يجعل من الممكن لمطوري التطبيقات تبسيط توزيع برامجهم التي لم يتم تضمينها في مستودعات التوزيع العادية عن طريق إعداد حاوية عالمية دون إنشاء تصميمات منفصلة لكل توزيع.

للمستخدمين المهتمين بالأمان ، Flatpak يسمح بتشغيل تطبيق مشكوك فيه في حاوية ، إعطاء الوصول فقط إلى وظائف الشبكة وملفات المستخدم المرتبطة بالتطبيق. للمستخدمين المهتمين بما هو جديد ، تسمح Flatpak لهم بتثبيت أحدث الإصدارات التجريبية والإصدارات المستقرة من التطبيقات دون الحاجة إلى إجراء تغييرات على النظام.

يتمثل الاختلاف الرئيسي بين Flatpak و Snap في أن Snap يستخدم مكونات بيئة النظام الرئيسية والعزل القائم على تصفية مكالمات النظام ، بينما تنشئ Flatpak حاوية نظام منفصلة وتعمل مع مجموعات وقت تشغيل كبيرة ، مما يوفر حزمًا نموذجية بدلاً من الحزم كاعتماديات.

حول الأخطاء المكتشفة في Flatpak

في هذه التحديثات الأمنية الجديدة ، يتم إعطاء الحل لخطأين تم اكتشافهمااكتشف أحدها بواسطة Ryan Gonzalez (CVE-2023-28101) أن المشرفين الضارين لتطبيق Flatpak يمكنهم معالجة عرض الإذن هذا أو إخفائه عن طريق طلب أذونات تتضمن أكواد تحكم طرفي ANSI أو أحرف أخرى غير قابلة للطباعة.

تم إصلاح ذلك في Flatpak 1.14.4 و 1.15.4 و 1.12.8 و 1.10.8 من خلال عرض أحرف غير قابلة للطباعة (\ xXX ، \ uXXXX ، \ UXXXXXXXXXX) حتى لا يغيروا السلوك الطرفي ، وأيضًا عن طريق المحاولة الأحرف غير القابلة للطباعة في سياقات معينة باعتبارها غير صالحة (غير مسموح بها).

عند تثبيت أو تحديث تطبيق Flatpak باستخدام flatpak CLI ، يُظهر للمستخدم عادةً الأذونات الخاصة التي يمتلكها التطبيق الجديد في بياناته الوصفية ، حتى يتمكن من اتخاذ قرار مستنير إلى حد ما حول السماح بتثبيته.

عند استعادة ملف أذونات التطبيق لعرضها على المستخدم ، تستمر الواجهة الرسومية أن تكون مسؤولاً عن تصفية أو الهروب من أي أحرف لديهم معنى خاص لمكتبات واجهة المستخدم الرسومية الخاصة بك.

من جانب من وصف نقاط الضعفيشاركوننا ما يلي:

  • CVE-2023-28100: القدرة على نسخ النص ولصقه في المخزن المؤقت لإدخال وحدة التحكم الافتراضية عبر معالجة TIOCLINUX ioctl عند تثبيت حزمة Flatpak من صنع المهاجمين. على سبيل المثال ، يمكن استخدام الثغرة الأمنية لإطلاق أوامر وحدة تحكم عشوائية بعد اكتمال عملية تثبيت حزمة طرف ثالث. تظهر المشكلة فقط في وحدة التحكم الافتراضية الكلاسيكية (/ dev / tty1 ، / dev / tty2 ، وما إلى ذلك) ولا تؤثر على الجلسات في xterm و gnome-terminal و Konsole ومحطات رسومية أخرى. الثغرة الأمنية ليست خاصة بـ flatpak ويمكن استخدامها لمهاجمة التطبيقات الأخرى ، على سبيل المثال ، تم العثور مسبقًا على ثغرات مماثلة تسمح باستبدال الأحرف عبر واجهة TIOCSTI ioctl في / bin / sandbox and snap.
  • CVE-2023-28101- القدرة على استخدام تسلسلات الهروب في قائمة الأذونات في بيانات تعريف الحزمة لإخفاء المعلومات حول الأذونات الموسعة المطلوبة التي يتم عرضها في الجهاز أثناء تثبيت الحزمة أو الترقية عبر واجهة سطر الأوامر. يمكن للمهاجم استخدام هذه الثغرة الأمنية لخداع المستخدمين حول الأذونات المستخدمة في الحزمة. يذكر أن واجهات المستخدم الرسومية لـ libflatpak ، مثل GNOME Software و KDE Plasma Discover ، لا تتأثر بشكل مباشر بهذا.

أخيرًا ، ذكر أنه كحل بديل يمكنك استخدام واجهة المستخدم الرسومية مثل GNOME Software Center بدلاً من سطر الأوامر
واجهة ، أو يوصى أيضًا بتثبيت التطبيقات التي تثق في صيانتها فقط.

إذا كنت مهتمًا بمعرفة المزيد عنها ، يمكنك الرجوع إلى التفاصيل في الرابط التالي.


كن أول من يعلق

اترك تعليقك

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها ب *

*

*

  1. المسؤول عن البيانات: ميغيل أنخيل جاتون
  2. الغرض من البيانات: التحكم في الرسائل الاقتحامية ، وإدارة التعليقات.
  3. الشرعية: موافقتك
  4. توصيل البيانات: لن يتم إرسال البيانات إلى أطراف ثالثة إلا بموجب التزام قانوني.
  5. تخزين البيانات: قاعدة البيانات التي تستضيفها شركة Occentus Networks (الاتحاد الأوروبي)
  6. الحقوق: يمكنك في أي وقت تقييد معلوماتك واستعادتها وحذفها.