با به روز رسانی های جدید رفع دو اشکال در Flatpak

آسیب پذیری

در صورت سوء استفاده، این نقص ها می توانند به مهاجمان اجازه دسترسی غیرمجاز به اطلاعات حساس را بدهند یا به طور کلی مشکلاتی ایجاد کنند.

اخیرا بودند به روز رسانی های اصلاحی منتشر شد از کیت ابزار تختپاک برای نسخه های مختلف 1.14.4، 1.12.8، 1.10.8 و 1.15.4 که در حال حاضر در دسترس هستند و دو آسیب پذیری را حل می کنند.

برای کسانی که با Flatpak آشنا نیستند ، باید این را بدانید به توسعه دهندگان برنامه امکان می دهد توزیع برنامه های خود را ساده کنند که با تهیه یک کانتینر جهانی بدون ایجاد ساخت‌های جداگانه برای هر توزیع، در مخازن توزیع معمولی گنجانده نمی‌شوند.

برای کاربران آگاه از امنیت، Flatpak به یک برنامه مشکوک اجازه می دهد تا در یک کانتینر اجرا شود، امکان دسترسی فقط به عملکردهای شبکه و فایل های کاربر مرتبط با برنامه. برای کاربرانی که به چیزهای جدید علاقه مند هستند، Flatpak به آنها اجازه می دهد تا آخرین نسخه آزمایشی و پایدار برنامه ها را بدون نیاز به ایجاد تغییرات در سیستم نصب کنند.

تفاوت اصلی Flatpak و Snap در این است که Snap از اجزای محیط اصلی سیستم و جداسازی مبتنی بر فیلترینگ فراخوانی سیستم استفاده می‌کند، در حالی که Flatpak یک کانتینر سیستم جداگانه ایجاد می‌کند و با مجموعه‌های زمان اجرا بزرگ کار می‌کند و بسته‌های معمولی را به جای بسته‌ها به عنوان وابستگی ارائه می‌دهد.

درباره باگ های شناسایی شده در Flatpak

در این به روز رسانی های امنیتی جدید، راه حل به دو خطای شناسایی داده شده استکه یکی از آنها توسط رایان گونزالس کشف شد (CVE-2023-28101) کشف کرد که نگهدارنده های مخرب برنامه Flatpak می توانند با درخواست مجوزهایی که شامل کدهای کنترل ترمینال ANSI یا سایر کاراکترهای غیرقابل چاپ می شود، این نمایش مجوز را دستکاری یا مخفی کنند.

این مشکل در Flatpak 1.14.4، 1.15.4، 1.12.8 و 1.10.8 با نمایش کاراکترهای غیرچاپ گریز شده (\xXX، \uXXXX، \UXXXXXXXXXX) برطرف شد تا رفتار ترمینال را تغییر ندهند، و همچنین با تلاش نویسه های غیر قابل چاپ در زمینه های خاص به عنوان نامعتبر (مجاز نیست).

هنگام نصب یا به‌روزرسانی یک برنامه Flatpak با استفاده از flatpak CLI، معمولاً مجوزهای ویژه برنامه جدید در فراداده‌های خود به کاربر نشان داده می‌شود، بنابراین آنها می‌توانند تا حدودی آگاهانه در مورد اجازه نصب آن تصمیم بگیرند.

هنگام بهبودی a مجوزهای برنامه برای نمایش به کاربر، رابط گرافیکی ادامه می یابد مسئولیت فیلتر کردن یا فرار از هر شخصیتی که آنها معنای خاصی برای کتابخانه های رابط کاربری گرافیکی شما دارند.

برای قسمت از شرح آسیب پذیری هاآنها موارد زیر را با ما به اشتراک می گذارند:

  • CVE-2023-28100: توانایی کپی و چسباندن متن در بافر ورودی کنسول مجازی از طریق دستکاری TIOCLINUX ioctl هنگام نصب بسته Flatpak ساخته شده توسط مهاجم. به عنوان مثال، این آسیب‌پذیری می‌تواند برای اجرای دستورات کنسول دلخواه پس از تکمیل فرآیند نصب یک بسته شخص ثالث مورد استفاده قرار گیرد. مشکل فقط در کنسول مجازی کلاسیک (/dev/tty1، /dev/tty2 و غیره) ظاهر می‌شود و بر جلسات xterm، gnome-terminal، Konsole و سایر پایانه‌های گرافیکی تأثیری نمی‌گذارد. این آسیب‌پذیری مختص flatpak نیست و می‌توان از آن برای حمله به برنامه‌های کاربردی دیگر استفاده کرد، برای مثال، آسیب‌پذیری‌های مشابهی قبلاً یافت شده بود که امکان جایگزینی کاراکتر از طریق رابط TIOCSTI ioctl در /bin/ sandbox و snap را فراهم می‌کرد.
  • CVE-2023-28101– امکان استفاده از دنباله های فرار در لیست مجوزها در فراداده بسته برای پنهان کردن اطلاعات مربوط به مجوزهای توسعه یافته درخواستی که در ترمینال در هنگام نصب بسته یا ارتقاء از طریق رابط خط فرمان نمایش داده می شوند. یک مهاجم می تواند از این آسیب پذیری برای فریب کاربران در مورد مجوزهای استفاده شده در بسته استفاده کند. ذکر شده است که رابط‌های کاربری گرافیکی libflatpak مانند نرم‌افزار GNOME و KDE Plasma Discover مستقیماً تحت تأثیر این موضوع قرار نمی‌گیرند.

در نهایت ذکر شده است که به عنوان یک راه حل می توانید از یک رابط کاربری گرافیکی مانند مرکز نرم افزار GNOME به جای خط فرمان استفاده کنید.
رابط کاربری، یا توصیه می شود فقط برنامه هایی را نصب کنید که به نگهدارنده های آنها اعتماد دارید.

اگر علاقه مند به دانستن بیشتر در مورد آن هستید، می توانید با آن مشورت کنید جزئیات در لینک زیر.


اولین کسی باشید که نظر

نظر خود را بگذارید

نشانی ایمیل شما منتشر نخواهد شد. بخشهای موردنیاز علامتگذاری شدهاند با *

*

*

  1. مسئول داده ها: میگل آنخل گاتون
  2. هدف از داده ها: کنترل هرزنامه ، مدیریت نظرات.
  3. مشروعیت: رضایت شما
  4. ارتباط داده ها: داده ها به اشخاص ثالث منتقل نمی شوند مگر با تعهد قانونی.
  5. ذخیره سازی داده ها: پایگاه داده به میزبانی شبکه های Occentus (EU)
  6. حقوق: در هر زمان می توانید اطلاعات خود را محدود ، بازیابی و حذف کنید.