CVE-2024-32462

सारांश

Flatpak लिनक्स पर सैंडबॉक्स्ड डेस्कटॉप अनुप्रयोगों के निर्माण, वितरण और चलाने के लिए एक प्रणाली है। 1.10.9, 1.12.9, 1.14.6 और 1.15.8 से पहले के संस्करणों में, एक दुर्भावनापूर्ण या समझौता किया गया Flatpak ऐप अपने सैंडबॉक्स के बाहर मनमाना कोड निष्पादित कर सकता था। सामान्यतः, `flatpak run` का `--command` तर्क निर्दिष्ट Flatpak ऐप में चलाने के लिए एक कमांड देने की अपेक्षा करता है, वैकल्पिक रूप से कुछ तर्कों के साथ। हालाँकि, इसके बजाय `--command=` में `bwrap` तर्क, जैसे `--bind`, पारित करना संभव है। किसी Flatpak ऐप के भीतर से पोर्टल इंटरफ़ेस `org.freedesktop.portal.Background.RequestBackground` में एक मनमाना `commandline` पारित करना संभव है। जब इसे `--command` और तर्कों में परिवर्तित किया जाता है, तो यह तर्कों को सीधे `bwrap` में पारित करने के समान प्रभाव प्राप्त करता है, और इस प्रकार इसका उपयोग सैंडबॉक्स से बचने के लिए किया जा सकता है। समाधान `bwrap` को `--` तर्क पारित करना है, जो इसे विकल्पों को संसाधित करने से रोकता है। यह bubblewrap 0.3.0 के बाद से समर्थित है। Flatpak के सभी समर्थित संस्करणों को bubblewrap के कम से कम उस संस्करण की आवश्यकता होती है। xdg-desktop-portal संस्करण 1.18.4 केवल Flatpak ऐप्स को उन कमांडों के लिए .desktop फ़ाइलें बनाने की अनुमति देकर इस भेद्यता को कम करेगा जो -- से शुरू नहीं होते हैं। यह भेद्यता 1.15.8, 1.10.9, 1.12.9 और 1.14.6 में पैच की गई है।

• CVE-2024-32462PoC

  CVE-2024-32462 कोड निष्पादन सैंडबॉक्स एस्केप