Recentemente foi descoberta uma vulnerabilidade no Flatpak que pode permitir que apps maliciosos executem comandos fora do sandbox.
Normalmente, os aplicativos executados no Flatpak estão limitados a um ambiente seguro onde não podem interagir com o sistema mais amplo. Esta configuração deve evitar que qualquer aplicativo não autorizado prejudique o sistema subjacente.
No entanto, Gergo Koteles descobriu recentemente uma falha onde um aplicativo Flatpak poderia contornar essa segurança através de um mecanismo envolvendo a interface xdg-desktop-portal.
Descoberta uma vulnerabilidade no Flatpak
Pois é. Foi descoberta uma vulnerabilidade no Flatpak. Os usuários do Linux que dependem do Flatpak para executar aplicativos de desktop em sandbox podem querer prestar atenção a uma descoberta recente.
Sim. Uma nova vulnerabilidade identificada como CVE-2024-32462 foi encontrada no Flatpak, permitindo potencialmente que aplicativos maliciosos executem comandos fora de seu ambiente seguro.
A falha está centrada no uso indevido do parâmetro --command, que pode involuntariamente ser levado a executar comandos adicionais. Os invasores podem manipular o sistema para executar comandos arbitrários fora da sandbox Flatpak, inserindo uma sequência que inclui –bind.
Isso poderia permitir que um aplicativo comprometido causasse danos mais amplos ao sistema do usuário, quebrando o principal recurso de segurança do Flatpak.
Felizmente, a equipe do Flatpak respondeu prontamente com patches para esta vulnerabilidade. Os usuários são fortemente encorajados a atualizar suas instalações Flatpak para as seguintes versões para garantir que estejam protegidos:
- Para usuários do branch estável, Flatpak versão 1.14.6 ou mais recente.
- Para aqueles em filiais estáveis mais antigas, a versão 1.12.9 ou 1.10.9 são as apostas seguras.
- Os desenvolvedores que usam o branch de desenvolvimento devem atualizar para a versão 1.15.8 ou superior.
Observe que as versões do Flatpak anteriores à 1.10.9, incluindo toda a série 1.8.x, não são mais suportadas e não receberão esta atualização crucial.
Você pode realizar um teste simples para verificar se o seu sistema foi afetado. Instale qualquer aplicativo Flatpak e execute-o com --command=--help seguido do ID do aplicativo.
Se o sistema retornar uma mensagem de erro informando que o comando de ajuda não foi encontrado, sua instalação do Flatpak não estará vulnerável.
No entanto, se exibir uma saída semelhante à do comando bwrap –help, significa que sua versão ainda está em risco.
Para obter informações mais detalhadas e atualizações contínuas, visite a página oficial de aconselhamento de segurança do Flatpak no GitHub.