リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:0712-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Flatpak は、Linux アプリケーションのサンドボックスおよびディストリビューションフレームワークです。バージョン 1.12.3および 1.10.6より前では、Flatpak はインストール時にアプリのユーザーに表示される権限が、ランタイムのアプリに許可されている実際の権限と一致しているかを適切に検証しません。その場合、アプリのメタデータファイルには NULL バイトが存在します。したがって、アプリはユーザーの同意を得ることなく、アプリ自身に権限を与える可能性があります。
    Flatpak は、コミットメタデータの xa.metadata キーから権限を読み取ることで、インストール中のユーザーに権限を表示します。これは、信頼できない GVariant であるため、null ターミネーターを含むことはできません。Flatpak は、これらの権限をメタデータファイルの *実際の* メタデータと比較し、偽りではなかったということを確認します。
    ただし、実際のメタデータコンテンツはいくつかの場所にロードされ、単純な C スタイルの文字列として読み取られます。これは、メタデータファイルに null ターミネーターが含まれている場合、ターミネーターの *より前* のファイルのコンテンツのみが xa.metadata と比較されることを意味します。したがって、null ターミネーターの後でメタデータファイルに表示される権限は、ランタイムでは適用されますが、ユーザーには表示されません。そのため、悪意を持って細工されたアプリが、自身に隠された権限を与える可能性があります。初期または更新のいずれであれ、Flatpak に悪意を持って細工されたメタデータファイルがある場合、信頼できないソースから Flatpaks をインストールしているユーザーは危険にさらされます。この問題には、バージョン 1.12.3 および 1.10.6 でパッチが適用されています。回避策として、ユーザーはメタデータファイルまたはコミットメタデータの xa.metadata キーをチェックすることで、インストールされているアプリの権限を手動でチェックできます。
    (CVE-2021-43860)

  - Flatpak は、Linux アプリケーションのサンドボックスおよびディストリビューションフレームワークです。パストラバーサルの脆弱性は、 1.12.3および 1.10.6より前のバージョンの Flatpak に影響します。flatpak-builder は、ビルドの最後に「finish-args」を適用します。この時点で、ビルドディレクトリはマニフェストで指定されている完全なアクセス権を持つため、「flatpak build」に対してこれを実行すると、これらの権限が取得されます。通常、これは行われないため、問題にはなりません。ただし、「--mirror-screenshots-url」が指定されている場合、flatpak-builder はファイナライズ後に「flatpak build --nofilesystem= host appstream-utils mirror-screenshots」を起動するため、「--nofilesystem= host」保護でも問題が発生する可能性があります。通常の使用で生じる唯一の問題は、ユーザーが書き込み権限を持っているところならどこでも、これらの空のディレクトリが作成される可能性があることです。ただし、悪意のあるアプリケーションが「appstream-util」バイナリを置き換えて、さらに悪意のある操作を実行する可能性があります。Flatpak 1.12.3および 1.10.6では、「--nofilesystem= home」および「--nofilesystem= host」の動作を変更することで、これを解決しています。(CVE-2022-21682)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15/ SLES15セキュリティ更新プログラム: flatpak (SUSE-SU-2022:0712-1)

high Nessus プラグイン ID 158594

バージョン 1.5