CVE-2021-21261

Flatpak, Linux-da qumcuza (sandbox) alınmış masaüstü tətbiqlərini qurmaq, paylamaq və işlətmək üçün nəzərdə tutulmuş bir sistemdir. `flatpak-portal` xidmətində qumcuza alınmış tətbiqlərə ev sistemində ixtiyari kodun icrasına (qumcuzadan çıxışa) imkan verə bilən bir xəta aşkar edilmişdir. Bu qumcuzadan çıxış xətası 0.11.4 və daha əvvəlki versiyalarda mövcuddur və düzəliş edilmiş 1.8.5 və 1.10.0 versiyalarında aradan qaldırılmışdır. Flatpak portal D-Bus xidməti (`flatpak-portal`, həmçinin D-Bus xidmət adı ilə `org.freedesktop.portal.Flatpak kimi tanınır), Flatpak qumcuzasındakı tətbiqlərə yeni qumcuza nümunəsində, ya çağıranla eyni təhlükəsizlik parametrləri ilə, ya da daha məhdudlaşdırıcı təhlükəsizlik parametrləri ilə öz altproseslərini başlatmağa imkan verir. Məsələn, bu, Chromium kimi Flatpak paketli veb brauzerlərdə etibarsız veb məzmunu emal edəcək altprosesləri başlatmaq və həmin altproseslərə brauzerin özündən daha məhdudlaşdırıcı qumcuza vermək üçün istifadə olunur. Zəifliyi olan versiyalarda, Flatpak portal xidməti çağıran tərəfindən təyin edilmiş mühit dəyişənlərini ev sistemindəki qumcuza alınmamış proseslərə və xüsusilə yeni qumcuza nümunəsini başlatmaq üçün istifadə olunan `flatpak run` əmrinə ötürür. Bədniyyətli və ya kompromisə uğramış Flatpak tətbiqi `flatpak run` əmri tərəfindən etibar edilən mühit dəyişənlərini təyin edə və onlardan qumcuza daxil olmayan ixtiyari kodu icra etmək üçün istifadə edə bilər. Müvəqqəti həll yolu kimi, bu zəiflik `flatpak-portal` xidmətinin başlamasının qarşısını almaqla azaldıla bilər, lakin bu tədbir bir çox Flatpak tətbiqlərinin düzgün işləməsinə mane olacaqdır. Problem 1.8.5 və 1.10.0 versiyalarında düzəldilmişdir.