CVE-2021-43860

Flatpak Linux tətbiqləri üçün qumcu (sandboxing) və paylama freymvorkudur. Versiya 1.12.3 və 1.10.6-dan əvvəlki versiyalarda, tətbiqin metadata faylında null baytı olduğu təqdirdə, Flatpak quraşdırma zamanı istifadəçiyə göstərilən icazələrin tətbiqə iş vaxtında (runtime) verilmiş aktual icazələrlə üst-üstə düşdüyünü düzgün şəkildə yoxlamır. Buna görə də tətbiqlər istifadəçinin razılığı olmadan özlərinə icazələr verə bilərlər. Flatpak quraşdırma zamanı icazələri commit metadatasındakı "xa.metadata" açarından oxuyaraq istifadəçiyə göstərir. Etibarsız GVariant olduğu üçün bu açar null terminator ehtiva edə bilməz. Flatpak, aldadılmadığından əmin olmaq üçün bu icazələri "metadata" faylındakı *aktual* metadata ilə müqayisə edir. Lakin aktual metadata məzmunu bir neçə yerdə sadə C-üslublu sətirlər kimi oxunur. Bu o deməkdir ki, əgər metadata faylı null terminator ehtiva edirsə, yalnız terminatordən *əvvəlki* fayl məzmunu xa.metadata ilə müqayisə edilir. Beləliklə, metadata faylında null terminatordən sonra gələn hər hansı icazə iş vaxtında tətbiq olunur, lakin istifadəçiyə göstərilmir. Beləliklə, bədniyyətli şəkildə hazırlanmış tətbiqlər özlərinə gizli icazələr verə bilərlər. Etibarsız mənbələrdən Flatpak quraşdıran istifadəçilər, Flatpak-ın ilkin halda və ya yeniləmə zamanı bədniyyətli şəkildə hazırlanmış metadata faylına malik olması halında risk altındadırlar. Bu problem 1.12.3 və 1.10.6 versiyalarında aradan qaldırılıb. Alternativ həll yolu kimi istifadəçilər quraşdırılmış tətbiqlərin icazələrini metadata faylını və ya commit metadatasındakı xa.metadata açarını yoxlayaraq əllə nəzarət edə bilərlər.