リモートの Debian 11 / 12 ホストには、dsa-5666 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Flatpak は、サンドボックス化されたデスクトップアプリケーションを Linux 上で構築、配布、実行するためのシステムです。1.10.9、1.12.9、1.14.6、1.15.8 より前のバージョンでは、悪意のあるまたは危険にさらされている Flatpak アプリがサンドボックス外で任意のコードを実行する可能性があります。通常、`flatpak run` の `--command` 引数は、指定された Flatpak アプリで実行するコマンドと、オプションでいくつかの引数が与えられることを期待しています。ただし、代わりに `bwrap` 引数を `--command=` に渡すことができます (例: `--bind`)。Flatpak アプリ内から任意の `commandline` をポータルインターフェイス `org.freedesktop.portal.Background.RequestBackground` に渡すことが可能です。これが `--command` と引数に変換されると、引数を直接 `bwrap` に渡すのと同じ効果が得られるため、サンドボックスエスケープに使用される可能性があります。解決策は、`--` 引数を `bwrap` に渡して、オプションの処理を停止させることです。これは、bubblewrap 0.3.0 以降でサポートされています。サポートされているすべてのバージョンの Flatpak には、少なくともそのバージョンの bubblewrap が必要です。xdg-desktop-portal バージョン 1.18.4 は、Flatpak アプリが -- で始まらないコマンド用の .desktop ファイルの作成だけをできるようにすることにより、この脆弱性を緩和します。この脆弱性は、1.15.8、1.10.9、1.12.9、1.14.6 でパッチされています。(CVE-2024-32462)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dsa-5666 : flatpak - セキュリティ更新

high Nessus プラグイン ID 193600

バージョン 1.0