Ranjivost u Flatpaku omogućila je izvršavanje koda izvan sandbox-a 

ranjivost

Ako se iskoriste, ovi nedostaci mogu omogućiti napadačima da dobiju neovlašteni pristup osjetljivim informacijama ili općenito uzrokovati probleme

Prije nekoliko dana pojavile su se vijesti Otkrivena je ranjivost u Flatpaku (sistem za izgradnju, distribuciju i pokretanje izolovanih okruženja desktop aplikacija na Linuxu). Katalogizirano pod CVE-2024-32462, zajedno sa klasifikacijom CWE-88, otkrivena je ranjivost dozvoljeno izbjegavanje sandbox-a putem RequestBackgrounda.

Ova ranjivost utiče na određene specifične verzije Flatpaka, a njegov uticaj može biti ozbiljan, budući da bi posebno dizajnirana aplikacija mogla izvršiti proizvoljni kod izvan sandbox-a, kompromitirajući korisničke informacije.

O ranjivosti CVE-2024-32462

To se spominje ranjivost dozvoljava zlonamjernu ili kompromitovanu aplikaciju distribuirano korištenjem formata flatpak paketa bypass način izolacije iz područja testiranja i pristupite glavnim sistemskim datotekama. Ovaj problem se javlja samo u paketima koji koriste Freedesktop portale (xdg-desktop-portal), koji se koriste za olakšavanje pristupa resursima u korisničkom okruženju iz izolovanih aplikacija.

Moguće je proslijediti proizvoljni interfejs komandne linije na org.freedesktop.portal.Background.RequestBackground interfejs portala iz Flatpak aplikacije. Ovo je obično sigurno, jer možete specificirati samo naredbu koja postoji unutar okruženja sandbox-a; ali kada se kreirani objekat komandne linije konvertuje u –commandarguments i, aplikacija bi mogla postići isti efekat prosleđivanja argumenata direktno u bwrapy, čime bi se postigla evakuacija iz sandboxa.

Rješenje je da Flatpak koristi argument –to bwrap, što uzrokuje da zaustavi opcije obrade prije dodavanja naredbe koju je odredio napadač. –argument je podržan od bubblewrap 0.3.0, a sve podržane verzije Flatpak-a već zahtijevaju barem tu verziju bubblewrap-a.

Iskorištavanje ove ranjivosti omogućava aplikaciji u sandboxu da koristi sučelje xdg-desktop-portal da kreirate fajl «.desktop» sa komandom koja pokreće aplikaciju iz flatpak-a, čime se omogućava pristup datotekama na glavnom sistemu.

Suština ranjivosti koja vam omogućava da izbjegnete sandbox leži argument –komanda de flatpack run, koji je očekivao da će primiti naredbu za pokretanje u navedenoj aplikaciji Flatpak, zajedno s nekim opcijskim argumentima. Manipulisanjem parametrom «–komanda«, koji se koristi za prenošenje naziva programa, bilo je moguće prenijeti naziv opcije, kao na primjer –vezati, a ovo je pogrešno protumačeno kao bwrap opcija za pokretanje navedenog programa unutar paketa, u izolovanom okruženju.

Praktični primjer ovoga spomenuto, je da pokrenete uslužni program ls u izolovanom okruženju paketa, koristite nešto slično ovome:

"flatpak run --command=ls org.gnome.gedit"

Koji će izvršiti:

"bwrap ...lots of stuff... --bind / /host ls -l /host".

U ovom slučaju, naziv “–bind” neće se smatrati imenom aplikacije za pokretanje, već opcijom bwrap.

Kao takva, ranjivost leži u činjenici da ako ime programa počinje znakovima «–», uslužni program bwrap će to protumačiti kao vlastitu opciju. Prvobitno se slanje komandi na ovaj način nije smatralo opasnim, budući da bi radili u izolovanom okruženju od paketa. Međutim, nije uzeto u obzir da će naredbe koje počinju sa "–" biti interpretirane kao opcije od strane uslužnog programa bwrap. Kao rezultat, interfejs xdg-desktop-portal može se iskoristiti za kreiranje ".desktop" datoteke sa komandom koja iskorištava ovu ranjivost.

Argument — podržan je od bubblewrap 0.3.0, a sve podržane verzije Flatpaka već zahtijevaju barem tu verziju bubblewrap-a. Spominje se da jedno od resenja da li je to verzija 1.18.4 od xdg-desktop-portal više ne dozvoljava Flatpak aplikacijama da kreiraju nove datoteke .desktop za komande koje počinju sa -.

Na kraju, vrijedi spomenuti da je ranjivost ispravljena u zakrpljenim verzijama Flatpak-a 1.15.8, 1.14.6, 1.12.9 i 1.10.9. Dodatno, predložena je sigurnosna popravka u verzijama xdg-desktop-portala 1.16.1 i 1.18.4.

Možete provjeriti verziju Flatpaka koju imate pokretanjem sljedeće naredbe:

flatpak --version

U slučaju da ste na ranjivoj verziji ili ako želite ažurirati svoju verziju Flatpaka, samo izvršite jednu od sljedećih naredbi:

Ubuntu/Debian i derivati:

sudo apt upgrade flatpak

RHEL/Fedora i derivati:

sudo dnf upgrade flatpak

Arch Linux i derivati:

sudo pacman -Syu flatpak

Naps zainteresovani da saznaju više o tome, možete provjeriti detalje Na sledećem linku.


Ostavite komentar

Vaša e-mail adresa neće biti objavljena. Obavezna polja su označena sa *

*

*

  1. Odgovoran za podatke: AB Internet Networks 2008 SL
  2. Svrha podataka: Kontrola neželjene pošte, upravljanje komentarima.
  3. Legitimacija: Vaš pristanak
  4. Komunikacija podataka: Podaci se neće dostavljati trećim stranama, osim po zakonskoj obavezi.
  5. Pohrana podataka: Baza podataka koju hostuje Occentus Networks (EU)
  6. Prava: U bilo kojem trenutku možete ograničiti, oporaviti i izbrisati svoje podatke.