Debian dsa-5666 : flatpak - セキュリティ更新
high Nessus プラグイン ID 193600
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 / 12 ホストには、dsa-5666 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。- Flatpak は、サンドボックス化されたデスクトップアプリケーションを Linux 上で構築、配布、実行するためのシステムです。1.10.9、1.12.9、1.14.6、1.15.8 より前のバージョンでは、悪意のあるまたは危険にさらされている Flatpak アプリがサンドボックス外で任意のコードを実行する可能性があります。通常、`flatpak run` の `--command` 引数は、指定された Flatpak アプリで実行するコマンドと、オプションでいくつかの引数が与えられることを期待しています。ただし、代わりに `bwrap` 引数を `--command=` に渡すことができます (例: `--bind`)。Flatpak アプリ内から任意の `commandline` をポータルインターフェイス `org.freedesktop.portal.Background.RequestBackground` に渡すことが可能です。これが `--command` と引数に変換されると、引数を直接 `bwrap` に渡すのと同じ効果が得られるため、サンドボックスエスケープに使用される可能性があります。解決策は、`--` 引数を `bwrap` に渡して、オプションの処理を停止させることです。これは、bubblewrap 0.3.0 以降でサポートされています。サポートされているすべてのバージョンの Flatpak には、少なくともそのバージョンの bubblewrap が必要です。xdg-desktop-portal バージョン 1.18.4 は、Flatpak アプリが -- で始まらないコマンド用の .desktop ファイルの作成だけをできるようにすることにより、この脆弱性を緩和します。この脆弱性は、1.15.8、1.10.9、1.12.9、1.14.6 でパッチされています。(CVE-2024-32462)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
flatpak パッケージをアップグレードしてください。参考資料
https://security-tracker.debian.org/tracker/source-package/flatpak
https://security-tracker.debian.org/tracker/CVE-2024-32462
プラグインの詳細
深刻度: High
ID: 193600
ファイル名: debian_DSA-5666.nasl
バージョン: 1.0
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2024/4/19
更新日: 2024/4/19
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.1
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 5.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2024-32462
CVSS v3
リスクファクター: High
基本値: 8.4
現状値: 7.3
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:flatpak-tests, p-cpe:/a:debian:debian_linux:flatpak, p-cpe:/a:debian:debian_linux:libflatpak0, p-cpe:/a:debian:debian_linux:libflatpak-doc, p-cpe:/a:debian:debian_linux:gir1.2-flatpak-1.0, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:libflatpak-dev
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/4/19
脆弱性公開日: 2024/4/18
参照情報
CVE: CVE-2024-32462