// LINUXNEWS.DE — LINUX & OPEN SOURCE
Flatpak 1.18.1 schließt zehn Sicherheitslücken
Mit Flatpak 1.18.1 ist am 11. August ein Sicherheitsupdate für das distributionsübergreifende Paketformat erschienen. Die neue Version beseitigt gleich zehn Sicherheitsprobleme, von denen mehrere den Zugriff auf das Hostsystem beziehungsweise die Ausweitung von Benutzerrechten ermöglichen. Anwender sollten daher möglichst zeitnah auf die neue Version aktualisieren.
Zu den schwerwiegenderen Schwachstellen zählt GHSA-8688-9×26-hhxj. Über einen Symlink-Angriff auf die Datenverzeichnisse einer Anwendung konnte die Flatpak-Sandbox umgangen werden, wodurch Lese- und Schreibzugriff auf das Dateisystem des Hosts möglich war. Eine weitere Lücke in revokefs erlaubte über Symlinks und Path Traversal eine lokale Ausweitung der Rechte bis hin zu Root.
Weitere behobene Schwachstellen betreffen unter anderem die Verarbeitung von extra-data, flatpak build-init und OCI-Archiven. Dabei waren teilweise Schreibzugriffe mit Root-Rechten auf beliebige Pfade oder das Auslesen von Dateien außerhalb der vorgesehenen Verzeichnisse möglich. Auch ein Buffer Overflow bei der Verarbeitung von OCI-Delta-Streams auf 32-Bit-Systemen wurde geschlossen. Zudem verhindert Flatpak 1.18.1 eine Möglichkeit, den Downgrade-Schutz für systemweit installierte Anwendungen zu umgehen.
Neben den Sicherheitskorrekturen behebt die Veröffentlichung mehrere reguläre Fehler. Dazu zählen eine Regression bei der Behandlung von Umgebungsvariablen durch flatpak-spawn, Abstürze im Update-Monitor des Portals sowie bei der Verarbeitung von OCI-JSON-Daten. Verbessert wurden darüber hinaus der Umgang mit OCI-Signaturen und TLS-Zertifikaten sowie die Bash-Vervollständigung.
Parallel zu Flatpak 1.18.1 haben die Entwickler mit Flatpak 1.19.0 eine Vorabversion des nächsten Entwicklungszweigs veröffentlicht. Es enthält ebenfalls die zehn Sicherheitskorrekturen, bringt darüber hinaus aber bereits neue Funktionen mit. Dazu zählt die Möglichkeit, systemweite Downgrades über Polkit zu autorisieren, anstatt dafür Root-Rechte vorauszusetzen. Neu sind außerdem der Unterbefehl flatpak-coredumpctl list sowie eine API, mit der Frontends die aktuelle Übertragungsgeschwindigkeit auslesen können.