CVE-2026-90616
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Flatpak przed wersją 1.18.1 złośliwa aplikacja w sandboxie może uzyskać dowolny dostęp do odczytu i zapisu plików na hoście, co może zostać eskalowane do wykonania dowolnego kodu na hoście. Flatpak tworzy katalogi danych aplikacji (np. /var/cache, /var/data, /var/config, /var/tmp) w każdym sandboxie przy każdym uruchomieniu aplikacji, gdzie w niektórych przypadkach komponenty ścieżki są kontrolowane przez atakującego. Brak ochrony przed dowiązaniami symbolicznymi może przekierować te katalogi, a złośliwe dowiązanie może wskazywać na dowolne lokalizacje na hoście i zostać zamontowane wewnątrz sandboxa.
Ocena ryzyka
Złośliwa aplikacja Flatpak może uzyskać pełny dostęp do systemu plików hosta i wykonać dowolny kod, co całkowicie kompromituje poufność, integralność i dostępność systemu.
Rekomendacja
Zaktualizuj Flatpak do wersji 1.18.1 lub nowszej, aby naprawić podatność.
Inne podatności w Flatpak
Zobacz wszystkie- CVE-2026-92162Wysokie
Flatpak przed wersją 1.18.1 pozwala lokalnemu użytkownikowi w aktywnej sesji na użycie spreparowanej nazwy architektury, aby nakłonić proces flatpak-system-helper do utworzenia drzewa katalogów należącego do roota poza zamierzonym katalogiem głównym. Wymaga to skonfigurowania co najmniej jednego zdalnego repozytorium OCI (typowe na Fedora). W połączeniu z innymi podatnościami naprawionymi w 1.18.1 może prowadzić do lokalnej eskalacji uprawnień do roota.
- CVE-2017-9780Wysokie
W Flatpak przed wersją 0.8.7, zewnętrzne repozytoria aplikacji mogły zawierać złośliwe aplikacje z plikami o niewłaściwych uprawnieniach, takimi jak setuid lub zapisywalne dla wszystkich. Takie pliki mogły być uruchamiane przez lokalnego atakującego lub umożliwiały zapis do lokalizacji zapisywalnej dla wszystkich.
- CVE-2026-34078Krytyczne
Flatpak w wersjach przed 1.16.4 zawiera podatność, w której portal Flatpak akceptuje ścieżki w opcjach sandbox-expose, które mogą być dowiązaniami symbolicznymi kontrolowanymi przez aplikację, wskazującymi na dowolne ścieżki. Flatpak montuje rozwiązaną ścieżkę hosta w piaskownicy, co daje aplikacjom dostęp do wszystkich plików hosta i może być używane jako prymityw do uzyskania wykonania kodu w kontekście hosta.
- CVE-2026-97029Średnie
Separacja przestrzeni nazw identyfikatorów procesów w Flatpak nie zapobiega temu, że wywołania kill(0, signal) lub killpg(0, signal) z aplikacji w sandboxie docierają do procesów poza sandboxem, które dzielą tę samą grupę procesów. Złośliwa lub przejęta aplikacja Flatpak może to wykorzystać do wywołania odmowy usługi poprzez zakończenie procesów poza sandboxem, takich jak powłoka pulpitu.
- CVE-2026-97024Wysokie
Podatność polegająca na przechodzeniu poza katalog (path traversal) w Flatpak podczas obsługi katalogu files/etc podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na wyczyszczenie lub zastąpienie niektórych plików systemowych (takich jak passwd, group, machine-id lub resolv.conf) symlinkiem podczas instalacji lub aktualizacji. W instalacjach systemowych zapis jest wykonywany jako root.
- CVE-2026-97027Niskie
Flatpak przekazuje dowolne klucze rozszerzeń dostawcy bez modyfikacji podczas eksportowania plików Desktop Entry (.desktop) i D-Bus Service (.service), zamiast walidować je względem listy dozwolonych. Złośliwa aplikacja Flatpak może to wykorzystać do spowodowania odmowy usługi (np. wymuszonych pętli restartu aplikacji) lub wpływania na aktywację hosta D-Bus/systemd poza zamierzony zakres sandboxa.
- CVE-2026-97026Niskie
Flatpak tworzy tymczasowe katalogi repozytoriów podrzędnych w pamięci podręcznej użytkownika z uprawnieniami światowego zapisu (0777). Na systemach wieloużytkownikowych z permisywnym umask, inni lokalni użytkownicy mogą odczytywać lub modyfikować tymczasowy katalog używany podczas instalacji aplikacji lub środowisk uruchomieniowych, co może powodować błędy instalacji (odmowa usługi); zmodyfikowana zawartość nie zostanie zaufana, ponieważ nie przejdzie weryfikacji podpisu/skrótu.
- CVE-2026-97025Niskie
Flatpak zapisuje token uwierzytelniający repozytorium OCI z uprawnieniami światowego odczytu (0644) w katalogu pamięci podręcznej systemowego pomocnika, co pozwala innym lokalnym użytkownikom na systemie wieloużytkownikowym odczytać token i podszywać się pod uwierzytelnionego użytkownika wobec repozytorium OCI. Dotyczy to tylko źródeł opartych na OCI (np. używanych przez Fedorę); źródła oparte na libostree, takie jak Flathub, nie są dotknięte.
- CVE-2026-97023Wysokie
Podatność na przechodzenie po ścieżkach w obsłudze katalogu export/bin przez Flatpak podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na usunięcie wybranych przez atakującego plików poza katalogiem wdrożenia podczas instalacji lub aktualizacji aplikacji. W instalacjach systemowych usunięcie jest wykonywane z uprawnieniami roota.
- CVE-2026-96284Niskie
Złośliwy użytkownik może uzyskać dostęp do odczytu plików w kontekście flatpak-system-helper, jeśli skonfigurowane jest systemowe repozytorium OCI, ponieważ ścieżki kodu OCI w systemowym helperze podążają za dowiązaniami symbolicznymi podczas importowania obrazów OCI, które są pod kontrolą użytkownika.
Oryginalny opis (angielski, źródło NVD)
In Flatpak before 1.18.1, a malicious sandboxed app can obtain arbitrary read and write access to files on the host, which can be escalated to arbitrary code execution on the host, a different vulnerability than CVE-2026-76925. Flatpak creates a few app data directories (e.g., /var/cache, /var/data, /var/config, and /var/tmp) in every sandbox on every app launch where, in some cases, components of the path are attacker-controlled. Missing symlink protection can redirect the directories. Some of these directories are bind-mounted by Flatpak by passing the path (e.g., /home/user/.var/app/APP_ID/cache/tmp), which contains attacker-controlled directories (tmp) to bwrap --bind SRC DST. bwrap passes the path on to the kernel, which then follows symlinks. A malicious symlink can point to arbitrary locations on the host and it will become mounted inside the sandbox.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS