CVE-2024-32462

Flatpak, Linux-da qumcuza (sandbox) alınmış masaüstü tətbiqlərini qurmaq, paylamaq və işlətmək üçün nəzərdə tutulmuş bir sistemdir. 1.10.9, 1.12.9, 1.14.6 və 1.15.8 versiyalarından əvvəlki versiyalarda zərərli və ya kompromisə uğramış Flatpak tətbiqi öz qumcuzasından kənarda ixtiyari kodu icra edə bilirdi. Normalda `flatpak run` əmrinin `--command` arqumenti müvafiq Flatpak tətbiqində işlədiləcək əmrin və istəyə bağlı olaraq bəzi arqumentlərin verilməsini gözləyir. Lakin bunun əvəzinə `--command=` vasitəsilə `bwrap`-a `--bind` kimi arqumentlər ötürmək mümkündür. Flatpak tətbiqinin daxilindən `org.freedesktop.portal.Background.RequestBackground` portal interfeysinə ixtiyari `commandline` ötürmək mümkündür. Bu məlumat `--command` və arqumentlərə çevrildikdə, eyni şəkildə arqumentlərin birbaşa `bwrap`-a ötürülməsi effektini yaradır və beləliklə, qumcuza qaçışı (sandbox escape) üçün istifadə edilə bilər. Həll yolu `bwrap`-a `--` arqumentini ötürməkdir ki, bu da onun seçimləri emal etməyi dayandırmasını təmin edir. Bu funksiya bubblewrap 0.3.0 versiyasından etibarən dəstəklənir. Flatpak-ın bütün dəstəklənən versiyaları bubblewrap-ın ən azı həmin versiyasını tələb edir. xdg-desktop-portal versiya 1.18.4, Flatpak tətbiqlərinə yalnız `--` ilə başlamayan əmrlər üçün .desktop faylları yaratmağa icazə verməklə bu boşluğu aradan qaldıracaqdır. Boşluq 1.15.8, 1.10.9, 1.12.9 və 1.14.6 versiyalarında düzəldilmişdir.