Podatności Flatpak

Flatpak przed wersją 1.18.1 pozwala lokalnemu użytkownikowi w aktywnej sesji na użycie spreparowanej nazwy architektury, aby nakłonić proces flatpak-system-helper do utworzenia drzewa katalogów należącego do roota poza zamierzonym katalogiem głównym. Wymaga to skonfigurowania co najmniej jednego zdalnego repozytorium OCI (typowe na Fedora). W połączeniu z innymi podatnościami naprawionymi w 1.18.1 może prowadzić do lokalnej eskalacji uprawnień do roota.

W Flatpak przed wersją 0.8.7, zewnętrzne repozytoria aplikacji mogły zawierać złośliwe aplikacje z plikami o niewłaściwych uprawnieniach, takimi jak setuid lub zapisywalne dla wszystkich. Takie pliki mogły być uruchamiane przez lokalnego atakującego lub umożliwiały zapis do lokalizacji zapisywalnej dla wszystkich.

Flatpak w wersjach przed 1.16.4 zawiera podatność, w której portal Flatpak akceptuje ścieżki w opcjach sandbox-expose, które mogą być dowiązaniami symbolicznymi kontrolowanymi przez aplikację, wskazującymi na dowolne ścieżki. Flatpak montuje rozwiązaną ścieżkę hosta w piaskownicy, co daje aplikacjom dostęp do wszystkich plików hosta i może być używane jako prymityw do uzyskania wykonania kodu w kontekście hosta.

Separacja przestrzeni nazw identyfikatorów procesów w Flatpak nie zapobiega temu, że wywołania kill(0, signal) lub killpg(0, signal) z aplikacji w sandboxie docierają do procesów poza sandboxem, które dzielą tę samą grupę procesów. Złośliwa lub przejęta aplikacja Flatpak może to wykorzystać do wywołania odmowy usługi poprzez zakończenie procesów poza sandboxem, takich jak powłoka pulpitu.

Podatność polegająca na przechodzeniu poza katalog (path traversal) w Flatpak podczas obsługi katalogu files/etc podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na wyczyszczenie lub zastąpienie niektórych plików systemowych (takich jak passwd, group, machine-id lub resolv.conf) symlinkiem podczas instalacji lub aktualizacji. W instalacjach systemowych zapis jest wykonywany jako root.

Flatpak przekazuje dowolne klucze rozszerzeń dostawcy bez modyfikacji podczas eksportowania plików Desktop Entry (.desktop) i D-Bus Service (.service), zamiast walidować je względem listy dozwolonych. Złośliwa aplikacja Flatpak może to wykorzystać do spowodowania odmowy usługi (np. wymuszonych pętli restartu aplikacji) lub wpływania na aktywację hosta D-Bus/systemd poza zamierzony zakres sandboxa.

Flatpak tworzy tymczasowe katalogi repozytoriów podrzędnych w pamięci podręcznej użytkownika z uprawnieniami światowego zapisu (0777). Na systemach wieloużytkownikowych z permisywnym umask, inni lokalni użytkownicy mogą odczytywać lub modyfikować tymczasowy katalog używany podczas instalacji aplikacji lub środowisk uruchomieniowych, co może powodować błędy instalacji (odmowa usługi); zmodyfikowana zawartość nie zostanie zaufana, ponieważ nie przejdzie weryfikacji podpisu/skrótu.

Flatpak zapisuje token uwierzytelniający repozytorium OCI z uprawnieniami światowego odczytu (0644) w katalogu pamięci podręcznej systemowego pomocnika, co pozwala innym lokalnym użytkownikom na systemie wieloużytkownikowym odczytać token i podszywać się pod uwierzytelnionego użytkownika wobec repozytorium OCI. Dotyczy to tylko źródeł opartych na OCI (np. używanych przez Fedorę); źródła oparte na libostree, takie jak Flathub, nie są dotknięte.

Podatność na przechodzenie po ścieżkach w obsłudze katalogu export/bin przez Flatpak podczas wdrażania aplikacji pozwala złośliwej aplikacji Flatpak na usunięcie wybranych przez atakującego plików poza katalogiem wdrożenia podczas instalacji lub aktualizacji aplikacji. W instalacjach systemowych usunięcie jest wykonywane z uprawnieniami roota.

Złośliwy użytkownik może uzyskać dostęp do odczytu plików w kontekście flatpak-system-helper, jeśli skonfigurowane jest systemowe repozytorium OCI, ponieważ ścieżki kodu OCI w systemowym helperze podążają za dowiązaniami symbolicznymi podczas importowania obrazów OCI, które są pod kontrolą użytkownika.

Wywołanie org.freedesktop.Flatpak.SystemHelper.CancelPull na pobieraniu innego użytkownika nie powoduje faktycznego anulowania, ale usuwa je z wewnętrznego śledzenia, co uniemożliwia właścicielowi zatrzymanie go. Trwające pobierania nie mogą być zatrzymane.

Złośliwe rozszerzenie Flatpak może badać system plików hosta, aby określić, jakie pliki i katalogi istnieją w dowolnych ścieżkach, a listy katalogów hosta mogą być ujawniane aplikacjom w piaskownicy korzystającym z rozszerzenia. Dodatkowo niezweryfikowane metadane rozszerzenia mogą spowodować zamontowanie zawartości rozszerzenia w niezamierzonych lokalizacjach wewnątrz piaskownicy.

W systemie wieloużytkownikowym użytkownik z aktywną lokalną sesją logowania może zdegradować systemową aplikację Flatpak do starszej wersji, usuwając referencję zdalną aplikacji za pomocą nieuprzywilejowanej metody system-helper RemoveLocalRef, co powoduje, że kontrola anty-degradacji nie znajduje daty referencyjnej. Złośliwy lokalny użytkownik może to wykorzystać do narażenia innych użytkowników tego samego systemu na wersję aplikacji z niezałatanymi podatnościami.

Parser strumienia delta OCI odczytuje rozmiary jako guint64, ale przekazuje je do funkcji GLib I/O i alokacji oczekujących gsize (32 bity na systemach 32-bitowych), co powoduje niedowymiarowane alokacje i przepełnienia sterty. Atakujący kontrolujący rejestr OCI może stworzyć złośliwy strumień delta, który podczas instalacji/aktualizacji flatpak może doprowadzić do wykonania kodu na systemach 32-bitowych.

Złośliwy rejestr OCI może utworzyć twarde dowiązania do dowolnych plików hosta w katalogu ekstrakcji, gdy użytkownik instaluje lub aktualizuje aplikację Flatpak ze zdalnego rejestru OCI. Pozwala to na ujawnienie zawartości dowolnych plików hosta.

W Flatpak przed wersją 1.18.1, writer revokefs, używany przez flatpak-system-helper do odbierania danych repozytorium od nieuprzywilejowanych wywołań, walidował ścieżki plików odrzucając dosłowne składniki .., ale nie zapobiegał przechodzeniu przez dowiązania symboliczne. Złośliwy użytkownik lokalny w aktywnej sesji lokalnej mógł uzyskać dwie sesje revokefs przez systemowego pomocnika, utworzyć dowiązanie symboliczne w jednej sesji wskazujące na katalog drugiej sesji i zachować deskryptor pliku przez to dowiązanie. Pozwoliło to atakującemu na modyfikację plików należących do innej sesji revokefs po ich walidacji i imporcie przez systemowego pomocnika. W szczególności atakujący mógł manipulować obiektami commit ostree w repozytorium systemowym po przejściu weryfikacji podpisu, umożliwiając zapis plików kontrolowanych przez roota do wybranych przez atakującego ścieżek i lokalną eskalację uprawnień do roota.

W Flatpak przed wersją 1.18.1 złośliwa aplikacja w sandboxie może zamienić plik ~/.var/app/$appid/.ld.so na dowiązanie symboliczne, co powoduje zapis plików w dowolnej lokalizacji przez regenerate_ld_cache. Nazwy plików i ich treść nie są kontrolowane przez atakującego, co utrudnia wykorzystanie.

Jeśli złośliwy kontener SDK deklaruje punkt rozszerzenia z spreparowaną ścieżką `directory`, a programista uruchomi `flatpak build-init --writable-sdk --sdk-extension` z tym SDK, pliki wybrane przez atakującego mogą zostać zapisane poza katalogiem roboczym, ponieważ ścieżka docelowa jest rozwiązywana przez funkcję, która pozwala na przejście `..`.

Złośliwe lub przejęte repozytorium Flatpak może zapisać treści kontrolowane przez atakującego w dowolnych lokalizacjach w systemie plików hosta poprzez extract_extra_data(). W instalacjach systemowych zapis odbywa się jako root. Łączą się dwa problemy: `files/extra` jest rozwiązywane przez operacje na ścieżkach, które podążają za dowiązaniami symbolicznymi, a nazwy blobów z `xa.extra-data-sources` nie są sanityzowane pod kątem traversal `..`.

W Flatpak przed wersją 1.18.1 złośliwa aplikacja w sandboxie może uzyskać dowolny dostęp do odczytu i zapisu plików na hoście, co może zostać eskalowane do wykonania dowolnego kodu na hoście. Flatpak tworzy katalogi danych aplikacji (np. /var/cache, /var/data, /var/config, /var/tmp) w każdym sandboxie przy każdym uruchomieniu aplikacji, gdzie w niektórych przypadkach komponenty ścieżki są kontrolowane przez atakującego. Brak ochrony przed dowiązaniami symbolicznymi może przekierować te katalogi, a złośliwe dowiązanie może wskazywać na dowolne lokalizacje na hoście i zostać zamontowane wewnątrz sandboxa.

W Flatpak znaleziono usterkę. Istnieje podatność typu Time-of-check to time-of-use (TOCTOU) w komponencie `org.freedesktop.Flatpak.SystemHelper`. Podatność występuje, ponieważ uprzywilejowana operacja `chmod` jest wykonywana przed walidacją repozytorium OSTree w funkcji `Deploy()`. Atakujący może wykorzystać to okno czasowe, aby przekierować dowiązania symboliczne do dowolnych plików, co może prowadzić do nieautoryzowanej manipulacji plikami lub ujawnienia informacji.

W Flatpak przed wersją 1.16.4 mechanizm buforowania ld.so usuwa nieaktualne pliki cache bez sprawdzania, czy ścieżka kontrolowana przez aplikację znajduje się w katalogu cache. Umożliwia to aplikacjom Flatpak usuwanie dowolnych plików na hoście.