Debian dsa-5666 : flatpak - セキュリティ更新

high Nessus プラグイン ID 193600

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 11 / 12 ホストには、dsa-5666 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Flatpak は、サンドボックス化されたデスクトップアプリケーションを Linux 上で構築、配布、実行するためのシステムです。1.10.9、1.12.9、1.14.6、1.15.8 より前のバージョンでは、悪意のあるまたは危険にさらされている Flatpak アプリがサンドボックス外で任意のコードを実行する可能性があります。通常、`flatpak run` の `--command` 引数は、指定された Flatpak アプリで実行するコマンドと、オプションでいくつかの引数が与えられることを期待しています。ただし、代わりに `bwrap` 引数を `--command=` に渡すことができます (例: `--bind`)。Flatpak アプリ内から任意の `commandline` をポータルインターフェイス `org.freedesktop.portal.Background.RequestBackground` に渡すことが可能です。これが `--command` と引数に変換されると、引数を直接 `bwrap` に渡すのと同じ効果が得られるため、サンドボックスエスケープに使用される可能性があります。解決策は、`--` 引数を `bwrap` に渡して、オプションの処理を停止させることです。これは、bubblewrap 0.3.0 以降でサポートされています。サポートされているすべてのバージョンの Flatpak には、少なくともそのバージョンの bubblewrap が必要です。xdg-desktop-portal バージョン 1.18.4 は、Flatpak アプリが -- で始まらないコマンド用の .desktop ファイルの作成だけをできるようにすることにより、この脆弱性を緩和します。この脆弱性は、1.15.8、1.10.9、1.12.9、1.14.6 でパッチされています。(CVE-2024-32462)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

flatpak パッケージをアップグレードしてください。

参考資料

https://security-tracker.debian.org/tracker/source-package/flatpak

https://security-tracker.debian.org/tracker/CVE-2024-32462

https://packages.debian.org/source/bookworm/flatpak

https://packages.debian.org/source/bullseye/flatpak

プラグインの詳細

深刻度: High

ID: 193600

ファイル名: debian_DSA-5666.nasl

バージョン: 1.0

タイプ: local

エージェント: unix

公開日: 2024/4/19

更新日: 2024/4/19

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.1

CVSS v2

リスクファクター: High

基本値: 7.5

現状値: 5.5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2024-32462

CVSS v3

リスクファクター: High

基本値: 8.4

現状値: 7.3

ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:flatpak-tests, p-cpe:/a:debian:debian_linux:flatpak, p-cpe:/a:debian:debian_linux:libflatpak0, p-cpe:/a:debian:debian_linux:libflatpak-doc, p-cpe:/a:debian:debian_linux:gir1.2-flatpak-1.0, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:libflatpak-dev

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2024/4/19

脆弱性公開日: 2024/4/18

参照情報

CVE: CVE-2024-32462