Εάν γίνουν αντικείμενο εκμετάλλευσης, αυτά τα ελαττώματα μπορούν να επιτρέψουν στους εισβολείς να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες ή γενικά να προκαλέσουν προβλήματα
πρόσφατα ήταν κυκλοφόρησαν διορθωτικές ενημερώσεις του κιτ εργαλείων Flatpak για τις διαφορετικές εκδόσεις 1.14.4, 1.12.8, 1.10.8 και 1.15.4, οι οποίες είναι ήδη διαθέσιμες και οι οποίες επιλύουν δύο τρωτά σημεία.
Για όσους δεν είναι εξοικειωμένοι με το Flatpak, θα πρέπει να γνωρίζετε ότι αυτό είναι δίνει τη δυνατότητα στους προγραμματιστές εφαρμογών να απλοποιήσουν τη διανομή των προγραμμάτων τους που δεν περιλαμβάνονται στα κανονικά αποθετήρια διανομής προετοιμάζοντας ένα γενικό κοντέινερ χωρίς τη δημιουργία ξεχωριστών δομών για κάθε διανομή.
Για χρήστες με επίγνωση της ασφάλειας, Flatpak επιτρέπει σε μια αμφισβητήσιμη εφαρμογή να εκτελείται σε ένα κοντέινερ, δίνοντας πρόσβαση μόνο σε λειτουργίες δικτύου και αρχεία χρήστη που σχετίζονται με την εφαρμογή. Για τους χρήστες που ενδιαφέρονται για ό,τι νέο υπάρχει, το Flatpak τους επιτρέπει να εγκαταστήσουν τις πιο πρόσφατες δοκιμαστικές και σταθερές εκδόσεις εφαρμογών χωρίς να χρειάζεται να κάνουν αλλαγές στο σύστημα.
Η βασική διαφορά μεταξύ Flatpak και Snap είναι ότι το Snap χρησιμοποιεί τα κύρια στοιχεία περιβάλλοντος συστήματος και απομόνωση βάσει φιλτραρίσματος κλήσεων συστήματος, ενώ το Flatpak δημιουργεί ένα ξεχωριστό κοντέινερ συστήματος και λειτουργεί με μεγάλες σουίτες χρόνου εκτέλεσης, παρέχοντας τυπικά πακέτα αντί για πακέτα ως εξαρτήσεις.
Σχετικά με τα σφάλματα που εντοπίστηκαν στο Flatpak
Σε αυτές τις νέες ενημερώσεις ασφαλείας, Η λύση δίνεται σε δύο σφάλματα που εντοπίστηκαν, ένα από τα οποία ανακαλύφθηκε από τον Ryan Gonzalez (CVE-2023-28101) ανακάλυψε ότι οι κακόβουλοι συντηρητές της εφαρμογής Flatpak μπορούσαν να χειριστούν ή να αποκρύψουν αυτήν την εμφάνιση άδειας ζητώντας δικαιώματα που περιλαμβάνουν κωδικούς ελέγχου τερματικού ANSI ή άλλους μη εκτυπώσιμους χαρακτήρες.
Αυτό διορθώθηκε στα Flatpak 1.14.4, 1.15.4, 1.12.8 και 1.10.8 με την εμφάνιση χαρακτήρων που δεν εκτυπώνονται με διαφυγή (\xXX, \uXXXX, \UXXXXXXXXXX), ώστε να μην αλλάζουν τη συμπεριφορά τερματικού, καθώς και με την προσπάθεια μη εκτυπώσιμοι χαρακτήρες σε συγκεκριμένα περιβάλλοντα ως μη έγκυροι (δεν επιτρέπονται).
Κατά την εγκατάσταση ή την ενημέρωση μιας εφαρμογής Flatpak χρησιμοποιώντας το flatpak CLI, συνήθως εμφανίζονται στον χρήστη τα ειδικά δικαιώματα που έχει η νέα εφαρμογή στα μεταδεδομένα της, ώστε να μπορεί να λάβει μια κάπως τεκμηριωμένη απόφαση σχετικά με το αν θα επιτρέψει την εγκατάστασή της.
Κατά την ανάκτηση α δικαιώματα εφαρμογής για εμφάνιση στον χρήστη, η γραφική διεπαφή συνεχίζεται είναι υπεύθυνος για το φιλτράρισμα ή τη διαφυγή τυχόν χαρακτήρων που έχουν ιδιαίτερη σημασία για τις βιβλιοθήκες GUI σας.
Για το μέρος από την περιγραφή των τρωτών σημείωνΜοιράζονται μαζί μας τα εξής:
- CVE-2023-28100: δυνατότητα αντιγραφής και επικόλλησης κειμένου στο buffer εισόδου εικονικής κονσόλας μέσω του χειρισμού TIOCLINUX ioctl κατά την εγκατάσταση ενός πακέτου Flatpak που έχει δημιουργηθεί από εισβολείς. Για παράδειγμα, η ευπάθεια θα μπορούσε να χρησιμοποιηθεί για την εκκίνηση αυθαίρετων εντολών κονσόλας μετά την ολοκλήρωση της διαδικασίας εγκατάστασης ενός πακέτου τρίτου κατασκευαστή. Το πρόβλημα εμφανίζεται μόνο στην κλασική εικονική κονσόλα (/dev/tty1, /dev/tty2, κ.λπ.) και δεν επηρεάζει τις συνεδρίες σε xterm, gnome-terminal, Konsole και άλλα τερματικά γραφικών. Η ευπάθεια δεν είναι συγκεκριμένη για το flatpak και μπορεί να χρησιμοποιηθεί για επίθεση σε άλλες εφαρμογές, για παράδειγμα, είχαν βρεθεί στο παρελθόν παρόμοια τρωτά σημεία που επέτρεπαν την αντικατάσταση χαρακτήρων μέσω της διεπαφής TIOCSTI ioctl στο /bin/ sandbox και στο snap.
- CVE-2023-28101– Δυνατότητα χρήσης ακολουθιών διαφυγής στη λίστα αδειών στα μεταδεδομένα του πακέτου για απόκρυψη πληροφοριών σχετικά με τα ζητούμενα εκτεταμένα δικαιώματα που εμφανίζονται στο τερματικό κατά την εγκατάσταση ή την αναβάθμιση του πακέτου μέσω της διεπαφής της γραμμής εντολών. Ένας εισβολέας θα μπορούσε να χρησιμοποιήσει αυτήν την ευπάθεια για να εξαπατήσει τους χρήστες σχετικά με τα δικαιώματα που χρησιμοποιούνται στο πακέτο. Αναφέρεται ότι τα GUI για το libflatpak, όπως το λογισμικό GNOME και το KDE Plasma Discover, δεν επηρεάζονται άμεσα από αυτό.
Τέλος, αναφέρεται ότι ως λύση μπορείτε να χρησιμοποιήσετε ένα GUI όπως το Κέντρο Λογισμικού GNOME αντί για τη γραμμή εντολών
διασύνδεση ή, επίσης, συνιστάται η εγκατάσταση μόνο εφαρμογών των οποίων τους συντηρητές εμπιστεύεστε.
Εάν ενδιαφέρεστε να μάθετε περισσότερα σχετικά με αυτό, μπορείτε να συμβουλευτείτε το λεπτομέρειες στον παρακάτω σύνδεσμο.