Dacă sunt exploatate, aceste defecte pot permite atacatorilor să obțină acces neautorizat la informații sensibile sau, în general, pot cauza probleme
recent au fost actualizări corective lansate a trusei de scule Flatpak pentru diferitele versiuni 1.14.4, 1.12.8, 1.10.8 și 1.15.4, care sunt deja disponibile și care rezolvă două vulnerabilități.
Pentru cei care nu sunt familiarizați cu Flatpak, ar trebui să știți că acest lucru face posibilă dezvoltatorilor de aplicații simplificarea distribuției programelor lor care nu sunt incluse în depozitele de distribuție obișnuite prin pregătirea unui container universal fără a crea versiuni separate pentru fiecare distribuție.
Pentru utilizatorii conștienți de securitate, Flatpak permite unei aplicații discutabile să ruleze într-un container, oferind acces numai la funcțiile de rețea și fișierele utilizator asociate cu aplicația. Pentru utilizatorii interesați de noutăți, Flatpak le permite să instaleze cele mai recente versiuni de testare și versiuni stabile de aplicații fără a fi nevoie să facă modificări sistemului.
Diferența cheie dintre Flatpak și Snap este că Snap utilizează componentele principale ale mediului de sistem și izolarea bazată pe filtrarea apelurilor de sistem, în timp ce Flatpak creează un container separat de sistem și funcționează cu suite mari de rulare, oferind pachete tipice în loc de pachete ca dependențe.
Despre erorile detectate în Flatpak
În aceste noi actualizări de securitate, soluţia se dă la două erori detectate, dintre care unul a fost descoperit de Ryan Gonzalez (CVE-2023-28101) a descoperit că întreținătorii rău intenționați ai aplicației Flatpak ar putea manipula sau ascunde această afișare a permisiunilor solicitând permisiuni care includ coduri de control ale terminalelor ANSI sau alte caractere neprintabile.
Acest lucru a fost remediat în Flatpak 1.14.4, 1.15.4, 1.12.8 și 1.10.8 prin afișarea caracterelor care nu se imprimă (\xXX, \uXXXX, \UXXXXXXXXXX), astfel încât acestea să nu modifice comportamentul terminalului și, de asemenea, încercând caractere neprintabile în anumite contexte ca fiind nevalide (nu sunt permise).
Când instalează sau actualizează o aplicație Flatpak utilizând CLI flatpak, utilizatorului i se arată de obicei permisiunile speciale pe care noua aplicație le are în metadatele sale, astfel încât să poată lua o decizie oarecum informată cu privire la posibilitatea instalării acesteia.
La recuperarea a permisiunile aplicației pentru a fi afișate utilizatorului, interfața grafică continuă fiind responsabil pentru filtrarea sau evadarea oricăror caractere care au o semnificație specială pentru bibliotecile dvs. GUI.
Pentru partea din descrierea vulnerabilitățilorEi ne împărtășesc următoarele:
- CVE-2023-28100: capacitatea de a copia și lipi text în buffer-ul de intrare al consolei virtuale prin manipularea TIOCLINUX ioctl atunci când se instalează un pachet Flatpak creat de atacator. De exemplu, vulnerabilitatea ar putea fi utilizată pentru a pune în scenă lansarea comenzilor arbitrare ale consolei după finalizarea procesului de instalare a unui pachet terță parte. Problema apare doar în consola virtuală clasică (/dev/tty1, /dev/tty2 etc.) și nu afectează sesiunile din xterm, gnome-terminal, Konsole și alte terminale grafice. Vulnerabilitatea nu este specifică pentru flatpak și poate fi folosită pentru a ataca alte aplicații, de exemplu, vulnerabilități similare au fost găsite anterior care au permis înlocuirea caracterelor prin interfața TIOCSTI ioctl în /bin/ sandbox și snap.
- CVE-2023-28101– Abilitatea de a utiliza secvențe de evadare din lista de permisiuni din metadatele pachetului pentru a ascunde informații despre permisiunile extinse solicitate care sunt afișate în terminal în timpul instalării pachetului sau al upgrade-ului prin interfața de linie de comandă. Un atacator ar putea folosi această vulnerabilitate pentru a păcăli utilizatorii cu privire la permisiunile folosite pe pachet. Se menționează că GUI-urile pentru libflatpak, cum ar fi GNOME Software și KDE Plasma Discover, nu sunt direct afectate de acest lucru.
În cele din urmă, se menționează că, ca o soluție, puteți utiliza o interfață grafică precum Centrul de software GNOME în loc de linia de comandă
interfață sau este, de asemenea, recomandat să instalați numai aplicații ai căror întreținerii aveți încredere.
Dacă sunteți interesat să aflați mai multe despre el, puteți consulta detalii în următorul link.