Debian DSA-4984-1:flatpak - セキュリティ更新

high Nessus プラグイン ID 154148

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

リモートのDebian 11ホストには、dsa-4984のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Flatpakは、Linuxでサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。1.10.4 および 1.12.0より前のバージョンでは、Wayland、Pipewire、またはpipewire-pulseが使用するAF_UNIXソケットに直接アクセスできるFlatpakアプリが、ポータルやその他のホストOSサービスを騙して、Flatpakアプリを通常のサンドボックス化されていないhost-OSプロセスのように処理させる可能性があります。細工された「/.flatpak-info」を置換したり、ファイルを完全に消去したりするために、Flatpakの拒否リストseccompフィルターでブロックされていない最近のマウント関連のsyscallを使用してVFSを操作することで、これを行うことができます。Wayland、Pipewire、またはpipewire-pulseによって使用されるAF_UNIXソケットのクライアントとして機能するFlatpakアプリは、対応するサービスがFlatpakアプリが持っていると考えてしまう権限を昇格させる可能性があります。注意:D-Busセッションバス(ユーザーバス)、システムバス、またはアクセシビリティバスで完全に動作するプロトコルは、これによる影響を受けません。これは、プロキシプロセス「xdg-dbus-proxy」を使用していることが原因で、これらのバスとやり取りするときには、FlatpakアプリによってVFSを操作できません。バージョン 1.10.4 および 1.12.0に対するパッチが存在し、公開の時点で、バージョン 1.8.2 に対するパッチが計画されています。パッチされたバージョンにアップグレードする以外に、回避策はありません。(CVE-2021-41133)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

flatpakパッケージをアップグレードしてください。

安定版(stable)ディストリビューション(bullseye)では、これらの問題はバージョン1.10.5-0+deb11u1で修正されています。

参考資料

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=995935

https://security-tracker.debian.org/tracker/source-package/flatpak

https://www.debian.org/security/2021/dsa-4984

https://security-tracker.debian.org/tracker/CVE-2021-41133

https://packages.debian.org/source/bullseye/flatpak

プラグインの詳細

深刻度: High

ID: 154148

ファイル名: debian_DSA-4984.nasl

バージョン: 1.3

タイプ: local

エージェント: unix

公開日: 2021/10/14

更新日: 2022/1/20

サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

基本値: 4.6

現状値: 3.4

ベクトル: CVSS2#AV:L/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2021-41133

CVSS v3

リスクファクター: High

基本値: 7.8

現状値: 6.8

ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:gir1.2-flatpak-1.0, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:libflatpak0, p-cpe:/a:debian:debian_linux:flatpak, p-cpe:/a:debian:debian_linux:flatpak-tests, p-cpe:/a:debian:debian_linux:libflatpak-doc, p-cpe:/a:debian:debian_linux:libflatpak-dev

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2021/10/12

脆弱性公開日: 2021/10/8

参照情報

CVE: CVE-2021-41133