したがって、ALAS2022-2022-021 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Flatpak に不適切な認証の脆弱性が見つかりました。アプリのメタデータファイルには NULL バイトが存在する場合、Flatpak はインストール時にアプリのユーザーに表示されるアクセス許可が、ランタイムのアプリに許可されている実際のアクセス許可と一致しているかを適切に検証しません。この問題により、アプリはユーザーの同意を得ることなく、アプリ自体にアクセス許可を与える可能性があります。(CVE-2021-43860)

    Flatpak にパストラバーサル脆弱性が見つかりました。これは、flatpak-builder が「finish-args」をビルドの最後に適用する場合に発生します。この時点で、ビルドディレクトリはマニフェストで指定されている完全なアクセス権を持つため、「flatpak build」に対してこれを実行すると、それらのアクセス許可が取得されます。(CVE-2022-21682)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2022 : flatpak、flatpak-devel、flatpak-libs (ALAS2022-2022-021)

high Nessus プラグイン ID 212482

バージョン 1.1