Fikse de ensèk nan Flatpak ak nouvo mizajou ranje yo

dènyèman te mizajou korektif yo pibliye nan twous zouti a Flatpak pou diferan vèsyon 1.14.4, 1.12.8, 1.10.8 ak 1.15.4, ki deja disponib epi ki rezoud de frajilite.

Pou moun ki pa abitye ak Flatpak, ou ta dwe konnen ke sa a fè li posib pou devlopè aplikasyon yo senplifye distribisyon pwogram yo ki pa enkli nan depo distribisyon regilye yo lè yo prepare yon veso inivèsèl san yo pa kreye bati separe pou chak distribisyon.

Pou itilizatè ki gen konsyans sekirite, Flatpak pèmèt yon aplikasyon doutab kouri nan yon veso, bay aksè sèlman nan fonksyon rezo ak fichye itilizatè ki asosye ak aplikasyon an. Pou itilizatè ki enterese nan sa ki nouvo, Flatpak pèmèt yo enstale dènye tès ak vèsyon ki estab aplikasyon yo san yo pa bezwen fè chanjman nan sistèm nan.

Diferans kle ant Flatpak ak Snap se ke Snap sèvi ak eleman prensipal anviwònman sistèm ak izolasyon ki baze sou filtraj apèl sistèm, pandan y ap Flatpak kreye yon veso sistèm separe epi li opere ak gwo asanble ègzekutabl, bay pakè tipik olye pou yo pakè kòm depandans.

Konsènan pinèz yo detekte nan Flatpak

Nan nouvo mizajou sekirite sa yo, se solisyon an bay de erè detekte, youn nan yo te dekouvri pa Ryan Gonzalez (CVE-2023-28101) ke moun ki kenbe move aplikasyon Flatpak la te kapab manipile oswa kache ekspozisyon pèmisyon sa a lè yo mande otorizasyon ki gen ladan kòd kontwòl tèminal ANSI oswa lòt karaktè ki pa enprime.

Sa a te fiks nan Flatpak 1.14.4, 1.15.4, 1.12.8 ak 1.10.8 lè yo montre karaktè ki pa enprime yo (\xXX, \uXXXX, \UXXXXXXXXXX) pou yo pa chanje konpòtman tèminal yo, epi tou lè yo eseye. karaktè ki pa enprime nan sèten kontèks kòm envalid (pa pèmèt).

Lè w ap enstale oswa mete ajou yon app Flatpak lè l sèvi avèk flatpak CLI, itilizatè a anjeneral montre pèmisyon espesyal nouvo app a genyen nan metadata li yo, pou yo ka pran yon desizyon yon ti jan enfòme sou si wi ou non pou pèmèt enstalasyon li yo.

Lè refè yon otorizasyon aplikasyon pou montre itilizatè a, koòdone grafik la ap kontinye yo te responsab pou filtre oswa chape nenpòt karaktè ki yo gen siyifikasyon espesyal nan bibliyotèk GUI ou yo.

Pou pati a soti nan deskripsyon frajilite yoYo pataje sa ki annapre yo avèk nou:

• CVE-2023-28100: Kapasite pou kopye epi kole tèks nan tanpon opinyon konsole vityèl la atravè manipilasyon TIOCLINUX ioctl lè w ap enstale yon pake Flatpak atakè-fabrike. Pou egzanp, vilnerabilite a ta ka itilize nan etap lansman an nan kòmandman konsole abitrè apre pwosesis enstalasyon an nan yon pake twazyèm pati fini. Pwoblèm nan parèt sèlman nan konsole vityèl klasik la (/dev/tty1, /dev/tty2, elatriye) epi li pa afekte sesyon yo nan xterm, gnome-terminal, Konsole ak lòt tèminal grafik. Vilnerabilite a pa espesifik nan flatpak epi yo ka itilize pou atake lòt aplikasyon, pou egzanp, frajilite menm jan an te deja jwenn ki te pèmèt sibstitisyon karaktè atravè koòdone TIOCSTI ioctl nan /bin/ sandbox la ak menen.
• CVE-2023-28101– Kapasite pou itilize sekans chape nan lis otorizasyon yo nan metadata pake a pou kache enfòmasyon sou otorizasyon pwolonje yo mande yo ki parèt nan tèminal la pandan enstalasyon pake a oswa ajou atravè koòdone liy lòd la. Yon atakè ka sèvi ak vilnerabilite sa a pou twonpe itilizatè yo sou otorizasyon yo itilize sou pake a. Li mansyone ke GUI yo pou libflatpak, tankou GNOME Software ak KDE Plasma Discover, yo pa afekte dirèkteman pa sa a.

Finalman, li mansyone ke kòm yon solisyon ou ka itilize yon entèfas tankou Sant lojisyèl GNOME olye pou yo liy lòd la.
koòdone, oswa li rekòmande tou pou sèlman enstale aplikasyon ki gen moun ki kenbe ou fè konfyans.

Si ou enterese nan konnen plis sou li, ou ka konsilte a detay nan lyen sa a.