Simon McVittie zbuloi së fundmi që identifikoi një dobësi (CVE-2021-21261) që lejon të shmanget izolimi i hapësirës së izoluar dhe ekzekutoni kodin arbitrar në mjedisin e sistemit host në programin e vendosjes dhe menaxhimit të paketës Flatpak
Prekshmëria është i pranishëm në shërbimin portal-flatpak D-Bus (flatpak-portal i njohur gjithashtu me emrin e tij të shërbimit D-Bus org.freedesktop.portal.Flatpak), i cili siguron fillimin e "portaleve" që përdoren për të organizuar hyrjen në burimet jashtë kontejnerit.
Për vendimin
Dhe është që dobësia e përmendur si e tillë nuk është, pasi kjo është për shkak të funksionimit të shërbimit "Flatpak-portal" lejon që aplikacionet e sandbox të fillojnë procesin e tyre të fëmijëve në një ambient të ri sandbox, në të cilin zbatohen të njëjtat cilësime izolimi ose më të forta izolimi (për shembull, për të trajtuar përmbajtjen e pasigurt).
Prekshmëria shfrytëzohet, që prej kalon variablat e mjedisit specifik për procesin e thirrjes te kontrolluesit jo të izoluar nga sistemi pritës (për shembull, duke ekzekutuar komandën «vrapim flatpak«). Një aplikacion me qëllim të keq mund të ekspozojë ndryshoret e mjedisit që ndikojnë në ekzekutimin e flatpak dhe ekzekutojnë çdo kod në anën e hostit.
Shërbimi flatpak-seksion-ndihmë (org.freedesktop.flatpakal kush hyn flatpak-pjellë-shtëpi) ka për qëllim të ofrojë aplikacione të shënuara veçanërisht aftësia për të ekzekutuar kodin arbitrar në sistemin pritës, kështu që nuk është dobësi që ajo të mbështetet gjithashtu në variablat e mjedisit që i ofrohen.
Dhënia e hyrjes në shërbimin org.freedesktop.Flatpak tregon se një aplikacion është i besueshëm dhe mund të ekzekutojë në mënyrë të ligjshme kodin arbitrar jashtë kutisë së rërës. Për shembull, mjedisi i zhvillimit të integruar GNOME Builder shënohet si i besuar në këtë mënyrë.
Shërbimi D-Bus i portalit Flatpak lejon që aplikacionet në një sandbox Flatpak të lëshojnë fijet e tyre në një sandbox të ri, ose me të njëjtat cilësime sigurie si thirrësi ose me cilësime më kufizuese të sigurisë.
Një shembull i kësaj, është se përmendet që në shfletuesit e internetit të paketuar me Flatpak si Krom, për të filluar fijet e cila do të përpunojë përmbajtje të pasigurta në ueb dhe do t'u japë atyre temave një kuti rëre më kufizuese sesa vetë shfletuesi.
Në versionet e prekshme, shërbimi i portalit Flatpak kalon variablat e mjedisit të specifikuara nga thirrësi në proceset jo-sandbox në sistemin host, dhe në veçanti në komandën e ekzekutimit flatpak që përdoret për të nisur shembullin e ri të sandbox.
Një aplikacion i dëmshëm ose i kompromentuar Flatpak mund të vendosë variablat e mjedisit të besuar nga komanda e ekzekutimit flatpak dhe t'i përdorë ato për të ekzekutuar kodin arbitrar që nuk është në një kuti rëre.
Duhet të mbahet mend se shumë zhvillues të flatpak çaktivizojnë mënyrën e izolimit ose japin hyrje të plotë në direktorinë e shtëpisë.
Për shembull, paketat GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity dhe VLC vijnë me modalitetin e izolimit të kufizuar. Nëse paketat me qasje në direktorinë kryesore janë të komprometuara, pavarësisht nga prania e etiketës «sandboxed»Në përshkrimin e paketës, një sulmues duhet të modifikojë skedarin ~ / .bashrc për të ekzekutuar kodin e tij.
Një çështje e veçantë është kontrolli mbi ndryshimet në paketa dhe besimi te krijuesit e paketave, të cilët shpesh nuk janë të lidhur me projektin kryesor ose shpërndarjet.
Zgjidhje
Përmendet se problemi u rregullua në versionet 1.10.0 dhe 1.8.5 të Flatpak, por më vonë u shfaq një ndryshim regresiv në rishikim që shkaktoi probleme përpilimi në sistemet me mbështetjen e mbështjellësve të flluskave të vendosur me flamurin setuid.
Pas kësaj, regresioni i përmendur u rregullua në versionin 1.10.1 (ndërsa azhurnimi për degën 1.8.x nuk është ende i disponueshëm).
Më në fund nëse jeni të interesuar të dini më shumë për të Në lidhje me raportin e cenueshmërisë, mund të kontrolloni detajet Në lidhjen vijuese.