CVE-2024-32462

概要

Flatpakは、Linux上でサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。1.10.9、1.12.9、1.14.6、1.15.8より前のバージョンでは、悪意のある、または侵害されたFlatpakアプリが、サンドボックスの外部で任意のコードを実行できる可能性がありました。通常、`flatpak run`の`--command`引数は、指定されたFlatpakアプリ内で実行するコマンドを、必要に応じていくつかの引数とともに渡されることを想定しています。しかし、代わりに`--bind`などの`bwrap`引数を`--command=`に渡すことが可能です。Flatpakアプリ内からポータルインターフェース`org.freedesktop.portal.Background.RequestBackground`に任意の`commandline`を渡すことが可能です。これが`--command`と引数に変換されると、`bwrap`に直接引数を渡すのと同じ効果が得られるため、サンドボックスからの脱出に使用される可能性があります。解決策は、`bwrap`に`--`引数を渡すことです。これにより、オプションの処理が停止されます。これはbubblewrap 0.3.0以降でサポートされています。サポートされているすべてのバージョンのFlatpakは、少なくともそのバージョンのbubblewrapを必要とします。xdg-desktop-portalバージョン1.18.4は、Flatpakアプリが`--`で始まらないコマンドの.desktopファイルのみを作成できるようにすることで、この脆弱性を緩和します。この脆弱性は、1.15.8、1.10.9、1.12.9、1.14.6で修正されています。

• CVE-2024-32462PoC

  CVE-2024-32462 コード実行 サンドボックスエスケープ