Jika dieksploitasi, kelemahan ini dapat memungkinkan penyerang mendapatkan akses tidak sah ke informasi sensitif atau umumnya menyebabkan masalah
baru-baru ini pembaruan korektif dirilis dari kit alat Flatpak untuk versi yang berbeda 1.14.4, 1.12.8, 1.10.8 dan 1.15.4, yang telah tersedia dan menyelesaikan dua kerentanan.
Bagi mereka yang tidak terbiasa dengan Flatpak, Anda harus tahu bahwa ini memungkinkan pengembang aplikasi untuk menyederhanakan distribusi program mereka yang tidak termasuk dalam repositori distribusi reguler dengan menyiapkan wadah universal tanpa membuat build terpisah untuk setiap distribusi.
Untuk pengguna yang sadar akan keamanan, Flatpak memungkinkan aplikasi yang dipertanyakan untuk berjalan dalam wadah, memberikan akses hanya ke fungsi jaringan dan file pengguna yang terkait dengan aplikasi. Bagi pengguna yang tertarik dengan apa yang baru, Flatpak memungkinkan mereka untuk menginstal aplikasi versi uji dan stabil terbaru tanpa harus membuat perubahan pada sistem.
Perbedaan utama antara Flatpak dan Snap adalah bahwa Snap menggunakan komponen lingkungan sistem utama dan isolasi berbasis pemfilteran panggilan sistem, sementara Flatpak membuat wadah sistem terpisah dan beroperasi dengan rangkaian runtime besar, menyediakan paket tipikal alih-alih paket sebagai dependensi.
Tentang bug yang terdeteksi di Flatpak
Dalam pembaruan keamanan baru ini, solusi diberikan untuk dua kesalahan yang terdeteksi, salah satunya ditemukan oleh Ryan Gonzalez (CVE-2023-28101) menemukan bahwa pengelola jahat aplikasi Flatpak dapat memanipulasi atau menyembunyikan tampilan izin ini dengan meminta izin yang menyertakan kode kontrol terminal ANSI atau karakter lain yang tidak dapat dicetak.
Ini diperbaiki di Flatpak 1.14.4, 1.15.4, 1.12.8 dan 1.10.8 dengan menampilkan karakter non-cetak yang lolos (\xXX, \uXXXX, \UXXXXXXXXX) sehingga mereka tidak mengubah perilaku terminal, dan juga dengan mencoba karakter yang tidak dapat dicetak dalam konteks tertentu sebagai tidak valid (tidak diizinkan).
Saat menginstal atau memperbarui aplikasi Flatpak menggunakan flatpak CLI, pengguna biasanya diperlihatkan izin khusus yang dimiliki aplikasi baru tersebut dalam metadatanya, sehingga mereka dapat membuat keputusan berdasarkan informasi tentang apakah akan mengizinkan penginstalannya.
Saat memulihkan a izin aplikasi untuk ditampilkan kepada pengguna, antarmuka grafis berlanjut bertanggung jawab untuk memfilter atau meloloskan karakter apa pun yang mereka memiliki arti khusus untuk perpustakaan GUI Anda.
Untuk bagian itu dari deskripsi kerentananMereka berbagi hal berikut dengan kami:
- CVE-2023-28100: kemampuan untuk menyalin dan menempelkan teks ke buffer input konsol virtual melalui manipulasi ioctl TIOCLINUX saat menginstal paket Flatpak buatan penyerang. Misalnya, kerentanan dapat digunakan untuk melakukan peluncuran perintah konsol arbitrer setelah proses penginstalan paket pihak ketiga selesai. Masalahnya hanya muncul di konsol virtual klasik (/dev/tty1, /dev/tty2, dll.) dan tidak memengaruhi sesi di xterm, terminal gnome, Konsole, dan terminal grafis lainnya. Kerentanan tidak spesifik untuk flatpak dan dapat digunakan untuk menyerang aplikasi lain, misalnya, kerentanan serupa sebelumnya ditemukan yang memungkinkan penggantian karakter melalui antarmuka ioctl TIOCSTI di /bin/ sandbox dan snap.
- CVE-2023-28101– Kemampuan untuk menggunakan escape sequence dalam daftar izin dalam metadata paket untuk menyembunyikan informasi tentang izin tambahan yang diminta yang ditampilkan di terminal selama instalasi paket atau pemutakhiran melalui antarmuka baris perintah. Penyerang dapat menggunakan kerentanan ini untuk mengelabui pengguna tentang izin yang digunakan pada paket. Disebutkan bahwa GUI untuk libflatpak, seperti Perangkat Lunak GNOME dan KDE Plasma Discover, tidak terpengaruh secara langsung oleh hal ini.
Terakhir, disebutkan bahwa sebagai solusinya Anda dapat menggunakan GUI seperti Pusat Perangkat Lunak GNOME alih-alih baris perintah
antarmuka, atau disarankan juga untuk hanya menginstal aplikasi yang pengelolanya Anda percayai.
Jika Anda tertarik untuk mengetahui lebih banyak tentangnya, Anda dapat berkonsultasi dengan detailnya di tautan berikut.