リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:2990-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Flatpak は、Linux でサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。「flatpak-portal」サービスでバグが発見されました。これにより、サンドボックス化されたアプリケーションがホストシステム上で任意のコードを実行する可能性があります (サンドボックスのエスケープ) 。このサンドボックス回避のバグは、0.11.4からのバージョン、修正された1.8.5および1.10.0の前のバージョンに存在します。FlatpakポータルD-Busサービス (「flatpak-portal」、D-Busサービス名「org.freedesktop.portal.Flatpak」としても知られる) により、Flatpakサンドボックス内のアプリは、新しいサンドボックスインスタンスで独自のサブプロセスを起動することができます。発信者と同じセキュリティ設定を使用するか、より制限的なセキュリティ設定を使用します。たとえば、これはChromiumなどのFlatpakパッケージのWebブラウザで使用され、信頼できないWebコンテンツを処理するサブプロセスを起動し、これらのサブプロセスにブラウザ自体よりも制限的なサンドボックスを与えます。脆弱なバージョンでは、Flatpakポータルサービスは呼び出し元が指定した環境変数をホストシステム上のサンドボックス化されていないプロセス、特に新しいサンドボックスインスタンスを起動するために使用される「flatpak run」コマンドに渡します。悪意のあるまたは侵害されたFlatpakアプリは、「flatpak run」コマンドによって信頼される環境変数を設定し、それを使用してサンドボックスにない任意のコードを実行する可能性があります。回避策として、この脆弱性は「flatpak-portal」サービスの起動を防ぐことで緩和できますが、この緩和策は多くのFlatpakアプリの正常な動作を妨げます。これはバージョン1.8.5および1.10.0で修正されました。(CVE-2021-21261)

  - Flatpakは、Linuxでサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。Flatpakのバージョン0.9.4以降1.10.2まででは、ファイル転送機能に脆弱性があり、攻撃者はこの脆弱性を利用して、通常はアプリケーションの権限によって許可されないファイルへのアクセスを取得することが可能です。悪意のあるアプリの発行元は、Flatpakアプリの.desktopファイルのExecフィールドに特殊トークン「@@」または「@@u」を挿入することで、flatpakを騙し、ユーザーが各自のFlatpakアプリでターゲットファイルを開くことを選択している (ターゲットファイルが自動的にFlatpakアプリで利用可能になる) かのように振る舞うように仕向けます。これはバージョン1.10.2で修正されています。最小限の解決策は、最初のコミット「Disallow @@ and @@U usage in desktop files」です。フォローアップコミット「dir: Reserve the whole @@ prefix」および「dir: Refuse to export .desktop files with suspicious uses of @@ tokens」が推奨されますが、これは厳密には必須ではありません。回避策として、信頼できないソースからのFlatpakアプリをインストールしないようにするか、または「exports/share/applications/*.desktop」 (通常は「~/.local/share/flatpak/exports/share/applications/*.desktop」および「/var/lib/flatpak/exports/share/applications/*.desktop」) でエクスポートされた「.desktop」ファイルの内容を確認し、リテラルファイル名が「@@」または「@@u」に従っていないことを確認してください。 (CVE-2021-21381)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES15 のセキュリティ更新プログラム: flatpak (SUSE-SU-2022:2990-1)

high Nessus プラグイン ID 164642

バージョン 1.6