Pilna aktualizacja dla użytkowników Linuksa. Flatpak miał aż 10 poważnych luk

Użytkownicy Linuksa korzystający z Flatpaka powinni zwrócić uwagę na najnowszą aktualizację. Wydana wersja 1.18.1 usuwa serię poważnych luk bezpieczeństwa, w tym błędy związane z przemierzaniem ścieżek, które w określonych scenariuszach mogły prowadzić do wyjścia poza mechanizmy izolacji aplikacji i uzyskania dostępu do zasobów z uprawnieniami roota.

Problem jest szczególnie istotny dla osób traktujących Flatpaka jako warstwę ochronną między aplikacjami a systemem. Mechanizm sandboxa ma ograniczać zakres tego, do czego program może uzyskać dostęp. Jeżeli jednak błąd pozwala aplikacji ominąć takie ograniczenia, jej izolacja przestaje być wystarczającą barierą.

Twórcy projektu zalecają aktualizację do Flatpaka 1.18.1. Te same poprawki bezpieczeństwa znalazły się również w rozwojowej gałęzi 1.19.0.

Dziesięć luk w jednym wydaniu

Informacja opublikowana na liście oss-security wskazuje, że Flatpak 1.18.1 naprawia łącznie dziesięć poważnych problemów bezpieczeństwa. Nie chodzi więc o pojedynczą usterkę, lecz o całą serię błędów odkrytych w mechanizmach odpowiedzialnych za bezpieczeństwo środowiska aplikacji.

Część podatności dotyczy przemierzania ścieżek. Tego typu błędy mogą pozwolić procesowi na wyjście poza dozwolony katalog i uzyskanie dostępu do plików znajdujących się poza przewidzianym obszarem działania.

W przypadku Flatpaka konsekwencje mogą być znacznie poważniejsze niż zwykły odczyt niewłaściwego pliku. Według informacji przekazanych przez projekt niektóre z błędów mogą umożliwiać atakującemu uzyskanie uprawnień roota, a także dowolny odczyt lub zapis plików z takimi uprawnieniami.

To poziom dostępu, który daje bardzo szerokie możliwości ingerencji w system.

Sandbox Flatpaka miał chronić system

Flatpak został zaprojektowany między innymi z myślą o izolowaniu aplikacji. Program uruchomiony w sandboxie powinien mieć ograniczony dostęp do systemu operacyjnego oraz danych użytkownika.

To jeden z powodów, dla których technologia zyskała popularność w świecie Linuksa. Aplikacja może działać w kontrolowanym środowisku, a jej dostęp do zasobów systemowych jest regulowany przez określone mechanizmy uprawnień.

Wykorzystanie luki w tych mechanizmach może jednak pozwolić aplikacji przekroczyć granice wyznaczone przez sandbox.

W przypadku opisanych teraz podatności scenariusze ataku obejmują między innymi możliwość rozszerzenia uprawnień do poziomu roota. W praktyce oznacza to potencjalną możliwość wykonania operacji, których zwykła aplikacja nie powinna być w stanie przeprowadzić.

Możliwy był także downgrade aplikacji

Jednym z ciekawszych elementów ujawnionych problemów jest możliwość obniżenia wersji aplikacji systemowych do starszych wydań zawierających znane podatności.

Taki mechanizm jest szczególnie niebezpieczny w przypadku systemów, które zostały już zaktualizowane. Nawet jeśli użytkownik korzysta z poprawionej wersji programu, atakujący może próbować doprowadzić do instalacji starszego, podatnego wydania.

Nie jest to klasyczny scenariusz polegający na wykorzystaniu jednej niezałatanej luki w aplikacji. Atak może polegać na manipulowaniu stanem oprogramowania i wykorzystaniu starszej wersji jako kolejnego etapu.

Twórcy Flatpaka ostrzegają, że starsze wydania projektu są podatne na wszystkie opisane zagrożenia.

Red Hat nadał już dwa numery CVE

Dla wszystkich dziesięciu luk zwrócono się o przypisanie identyfikatorów CVE. Dwa problemy otrzymały już numery nadane przez Red Hat.

CVE pozwalają jednoznacznie identyfikować podatności i śledzić informacje dotyczące ich wpływu oraz dostępnych poprawek. W przypadku oprogramowania wykorzystywanego w wielu dystrybucjach Linuksa ma to szczególne znaczenie, ponieważ poprawka w projekcie źródłowym nie zawsze natychmiast trafia do użytkowników końcowych.

Właśnie tutaj pojawia się problem dla użytkowników popularnych dystrybucji.

Fedora jeszcze nie dostarczyła poprawki

Nie wszystkie dystrybucje Linuksa udostępniły Flatpaka 1.18.1 w swoich stabilnych wydaniach. Dotyczy to między innymi Fedory, która domyślnie korzysta z Flatpaka. Sytuacja może być dla użytkownika myląca. Projekt Flatpak może już posiadać poprawioną wersję, podczas gdy menedżer pakietów konkretnej dystrybucji nadal oferuje wcześniejsze wydanie.

Aktualizacja systemu nie musi więc automatycznie oznaczać natychmiastowego przejścia na Flatpak 1.18.1. Wszystko zależy od tego, kiedy dana dystrybucja przygotuje, przetestuje i opublikuje odpowiedni pakiet. Użytkownicy powinni zatem sprawdzić wersję Flatpaka dostępną w swoim systemie oraz informacje publikowane przez dostawcę dystrybucji.

To nie pierwszy problem z ucieczką z sandboxa

Mechanizmy izolacji Flatpaka już wcześniej były celem badań bezpieczeństwa. W kwietniu ujawniono podatność CVE-2026-34078 dotyczącą możliwości wyjścia poza sandbox.

Jej znaczenie było szczególnie duże ze względu na ocenę 10 na 10 w systemie CVSS. Tak wysoka wartość wskazuje na krytyczny charakter zagrożenia.

Nowa seria błędów pokazuje, że bezpieczeństwo warstwy izolacyjnej pozostaje jednym z najważniejszych elementów projektu Flatpak. Sandbox jest tylko tak mocny, jak mechanizmy odpowiedzialne za kontrolowanie dostępu do zasobów systemowych.

Jeżeli któryś z nich pozwala ominąć ograniczenia, potencjalny atak może rozpocząć się od pozornie zwykłej aplikacji, a zakończyć przejęciem znacznie większych uprawnień.

Co powinni zrobić użytkownicy Linuksa?

Najważniejszym krokiem jest aktualizacja Flatpaka do wersji 1.18.1, gdy tylko poprawiony pakiet będzie dostępny dla używanej dystrybucji. Osoby korzystające z wersji rozwojowej powinny przejść na wydanie 1.19.0 zawierające te same poprawki.

Warto również pamiętać, że samo korzystanie z aplikacji w sandboxie nie daje gwarancji pełnej ochrony. Izolacja aplikacji ogranicza skutki wielu potencjalnych ataków, lecz podatności w samym mechanizmie izolacji mogą stworzyć drogę do obejścia zabezpieczeń.