Flatpak 1.18.1 устраняет уязвимости выхода из песочницы и повышения привилегий до root
Разработчики Flatpak выпустили версию 1.18.1 - важное обновление, ориентированное прежде всего на усиление защиты Linux-приложений. Релиз закрывает сразу несколько опасных проблем, связанных с изоляцией программ, доступом к файловой системе, обработкой OCI-архивов и границами пользовательских привилегий.
Наиболее серьезное исправление касается уязвимости, которая могла позволить приложению покинуть песочницу Flatpak и получить возможность чтения или записи произвольных данных на хост-системе. Для среды, где приложения запускаются в ограниченном окружении, такая проблема представляет значительный риск: скомпрометированная программа потенциально могла бы обращаться к файлам, не предназначенным для нее.
Еще одна критическая проблема была связана с локальным повышением прав до root. Ошибка возникала из-за обхода путей с использованием символических ссылок в механизме revokefs и возможности подмены данных коммита. В результате локальный пользователь мог попытаться выполнить операции с правами суперпользователя, нарушив установленную модель безопасности.
Разработчики также закрыли две дополнительные уязвимости, позволявшие записывать файлы с root-привилегиями. Первая находилась в процессе извлечения extra-data и была связана с символическими ссылками и обходом путей. Вторая обнаружена в компоненте flatpak build-init. Эти исправления особенно важны для систем, где Flatpak применяется не только для запуска готовых программ, но и для сборки пакетов.
Отдельный блок изменений затрагивает поддержку OCI. В Flatpak 1.18.1 устранена ошибка обхода путей через жесткие ссылки при распаковке OCI-архивов. При определенных условиях она могла привести к чтению произвольных файлов на хосте. Кроме того, исправлено переполнение буфера, возникавшее при обработке имен путей в OCI delta stream на 32-разрядных системах.
Еще одна проблема была связана с атакой через символическую ссылку .ld.so. Теоретически злоумышленник мог добиться записи файлов с заранее заданными именами в произвольные места файловой системы. Обновление также усиливает защиту от отката приложений на более старые версии: закрыта лазейка, позволявшая непривилегированным пользователям обходить существующие ограничения и выполнять небезопасное понижение версии.
Подробный перечень изменений и описание исправленных дефектов опубликованы в материале о том, как Flatpak 1.18.1 устраняет уязвимости песочницы и повышение прав. Эти сведения будут особенно полезны администраторам Linux-систем и разработчикам дистрибутивных пакетов.
Помимо исправлений безопасности, релиз содержит ряд технических улучшений. Разработчики устранили регрессию в обработке переменных окружения для функции flatpak-spawn, связанной с порталом. Исправлена и работа отрицательных разрешений в параметрах allow и share команды run. Теперь некорректные или спорные комбинации разрешений обрабатываются предсказуемее.
В Flatpak 1.18.1 также устранена ошибка сборки при экспорте файлов releases.xml с метаданными приложений. Исправлены сбои в мониторе обновлений портала и при обработке OCI JSON. Кроме того, Flatpak теперь возвращает ошибку, если выполняется попытка перенаправить файл с пустым путем, вместо того чтобы продолжать операцию в неопределенном состоянии.
Изменения коснулись и инфраструктуры OCI. Системный помощник теперь проверяет подписи через зеркальный репозиторий, а не через lookaside-сервер. При обращении к OCI-реестрам корректнее используются TLS-сертификаты, а ошибки записи потока теперь передаются в curl, что упрощает диагностику проблем при загрузке данных.
Пользователям рекомендуется установить обновление как можно скорее, особенно если Flatpak используется на рабочих станциях с недоверенными приложениями или в многопользовательской среде. Пакет обычно появляется в стандартных репозиториях дистрибутива после того, как сопровождающие завершат его проверку. Тем, кому требуется Flatpak 1.18.1 скачать уже сейчас, стоит проверить официальные репозитории своей системы, backport-каналы или актуальные сборки, совместимые с используемым дистрибутивом.
Для проверки текущей версии можно воспользоваться командой `flatpak --version`. Если система предлагает обновление Flatpak 1.18.1, его желательно применить вместе с обновлениями компонентов портала и системных библиотек. Одного обновления пользовательских приложений может быть недостаточно, поскольку перечисленные дефекты затрагивают саму инфраструктуру запуска и установки пакетов.
Безопасность Flatpak Linux во многом зависит не только от самой технологии песочниц, но и от своевременной установки исправлений, корректной настройки разрешений и осторожного отношения к сторонним репозиториям. Даже при наличии изоляции приложение может получить доступ к данным, если пользователь явно предоставил ему соответствующие разрешения через параметры запуска или настройки портала.
Тем, кто планирует установку Flatpak на Linux, рекомендуется использовать версии, доступные из поддерживаемых репозиториев, и регулярно проверять обновления. В Ubuntu, Debian, Fedora и других популярных системах команда установки и политика обновлений могут отличаться, поэтому перед развертыванием стоит учитывать срок поддержки конкретного выпуска. Для корпоративных машин полезно дополнительно контролировать источники пакетов и фиксировать разрешения приложений.
Таким образом, Flatpak 1.18.1 нельзя считать обычным исправлением мелких ошибок. Релиз закрывает несколько серьезных уязвимостей, включая выход из песочницы, запись файлов с root-привилегиями, обход путей и недостатки обработки OCI-данных. Установка обновления - важный шаг для сохранения изоляции приложений и повышения общего уровня защиты Linux-систем.
