Si s'exploten, aquestes falles poden permetre als atacants obtenir accés no autoritzat a informació confidencial o, en general, causar problemes
Fa poc van ser llançades les actualitzacions correctives del kit d'eines Flatpak per a les diferents versions 1.14.4, 1.12.8, 1.10.8 i 1.15.4, les quals ja estan disponibles i que arriben a solucionen dues vulnerabilitats.
Per als qui desconeixen de Flatpak, han de saber que aquest fa possible que els desenvolupadors d'aplicacions simplifiquin la distribució dels seus programes que no estan inclosos als repositoris de distribució regulars en preparar un contenidor universal sense crear compilacions separades per a cada distribució.
Per als usuaris conscients de la seguretat, Flatpak permet que una aplicació qüestionable s'executi en un contenidor, donant accés només a les funcions de xarxa i fitxers d'usuari associats amb l'aplicació. Per als usuaris interessats en les novetats, Flatpak els permet instal·lar les últimes versions de prova i estables de les aplicacions sense haver de fer canvis al sistema.
La diferència clau entre Flatpak i Snap és que Snap utilitza els components de l'entorn del sistema principal i l'aïllament basat en el filtratge de trucades del sistema, mentre que Flatpak crea un contenidor separat del sistema i opera amb grans conjunts de temps d'execució, proporcionant paquets típics en lloc de paquets com a dependències.
Sobre els errors detectats a Flatpak
En aquestes noves actualitzacions de seguretat, es dóna la solució a dos errors detectats, un dels quals va ser descobert per Ryan Gonzalez va descobrir (CVE-2023-28101) que els mantenidors maliciosos de l'aplicació Flatpak podrien manipular o ocultar aquesta visualització de permisos sol·licitant permisos que inclouen codis de control de terminal ANSI o altres caràcters no imprimibles.
Això es va solucionar a Flatpak 1.14.4, 1.15.4, 1.12.8 i 1.10.8 mostrant caràcters no imprimibles en format d'escapament (\xXX, \uXXXX, \UXXXXXXXXX) perquè no alterin el comportament del terminal, i també tractant caràcters no imprimibles en certs contextos com a invàlids (no permesos).
En instal·lar o actualitzar una aplicació Flatpak usant la CLI flatpak, a l'usuari normalment se li mostren els permisos especials que té la nova aplicació a les seves metadades, perquè puguin prendre una decisió una mica informada sobre si permetre la seva instal·lació.
En recuperar un permisos de l'aplicació per mostrar l'usuari, la interfície gràfica continua sent responsable de filtrar o escapar qualsevol caràcter que tenen un significat especial per a les vostres biblioteques GUI.
Per la part de la descripció de les vulnerabilitats, ens comparteixen el següent:
- CVE-2023-28100: capacitat per copiar i enganxar text al memòria intermèdia de la consola virtual a través de la manipulació ioctl de TIOCLINUX en instal·lar un paquet Flatpak preparat per un atacant. Per exemple, la vulnerabilitat podria utilitzar-se per organitzar el llançament d'ordres arbitràries a la consola després que es completi el procés d'instal·lació d'un paquet de tercers. El problema apareix només a la consola virtual clàssica (/dev/tty1, /dev/tty2, etc.) i no afecta les sessions a xterm, gnome-terminal, Konsole i altres terminals gràfiques. La vulnerabilitat no és específica de flatpak i es pot utilitzar per atacar altres aplicacions, per exemple, anteriorment es van trobar vulnerabilitats similars que permetien la substitució de caràcters a través de la interfície ioctl de TIOCSTI a /bin/ sandbox i snap.
- CVE-2023-28101: capacitat d'usar seqüències d'escapament a la llista de permisos a les metadades del paquet per ocultar informació sobre els permisos estesos sol·licitats que es mostren a la terminal durant la instal·lació o actualització del paquet a través de la interfície de línia d'ordres. Un atacant podria utilitzar aquesta vulnerabilitat per enganyar els usuaris sobre els permisos utilitzats al paquet. S'esmenta que les interfícies gràfiques per a libflatpak, com el GNOME Software i el KDE Plasma Discover, no es veuen directament afectats per això.
Finalment, s'esmenta que com a solució alternativa es pot fer servir una GUI com el Centre de programari del GNOME en lloc de la línia d'ordres
interfície, o també es recomana només instal·lar les aplicacions dels mantenidors de les quals es confiï.
Si estàs interessat a poder conèixer més sobre això, pots consultar els detalls en el següent enllaç.