GLSA 202101-21: Flatpak: Sandbox escape

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Flatpak: Sandbox escape
Дата:	25.01.2021
Ошибки:	#765457
ID:	202101-21

Сводка

A vulnerability was discovered in Flatpak which could allow a remote attacker to execute arbitrary code.

Назначение

Flatpak is a Linux application sandboxing and distribution framework.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
sys-apps/flatpak	< 1.10.0	>= 1.10.0	All supported architectures

Описание

A bug was discovered in the flatpak-portal service that can allow sandboxed applications to execute arbitrary code on the host system (a sandbox escape).

Воздействие

A remote attacker could entice a user to open a specially crafted Flatpak app possibly resulting in execution of arbitrary code with the privileges of the process or a Denial of Service condition.

Обход

As a workaround, this vulnerability can be mitigated by preventing the flatpak-portal service from starting, but that mitigation will prevent many Flatpak apps from working correctly. It is highly recommended to upgrade.

Решение

All Flatpak users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=sys-apps/flatpak-1.10.0"

Ссылки

CVE-2021-21261

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202101-21.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.