CVE-2022-21682

Flatpak Linux tətbiqləri üçün qum sandbox və paylama freymvorkudur. Path traversal zəifliyi Flatpak-in 1.12.3 və 1.10.6 versiyalarından əvvəlki versiyalarını təsir edir. flatpak-builder qurma prosesində `finish-args` parametrini ən sonda tətbiq edir. Bu mərhələdə qurma kataloqu manifestdə göstərilmiş tam giriş hüquqlarına malik olur, buna görə də onun üzərində `flatpak build` əmrinin işlədilməsi həmin icazələrin əldə edilməsinə səbəb olur. Normalda bu edilmir, ona görə də bu bir problem törətmir. Lakin, `--mirror-screenshots-url` təyin edildikdə, flatpak-builder yekunlaşdırmadan sonra `flatpak build --nofilesystem=host appstream-utils mirror-screenshots` əmrini başladır ki, bu da `--nofilesystem=host` qorumasına baxmayaraq problemlərə yol aça bilər. Normal istifadədə yeganə problem istifadəçinin yazı icazəsinin olduğu hər hansı yerdə bu boş kataloqların yaradıla bilməsidir. Lakin bədniyyətli tətbiq `appstream-util` binari faylını əvəz edə və potensial olaraq daha təhlükəli hərəkətlər edə bilər. Bu problem Flatpak 1.12.3 və 1.10.6 versiyalarında `--nofilesystem=home` və `--nofilesystem=host` parametrlərinin davranışı dəyişdirilərək həll edilmişdir.