CVE-2021-21261

Flatpak; Linux üzerinde kum havuzuyla (sandbox) korunan masaüstü uygulamaları oluşturmak, dağıtmak ve çalıştırmak için kullanılan bir sistemdir. `flatpak-portal` servisinde, kum havuzuyla korunan uygulamaların ana sistem üzerinde rastgele kod yürütmesine izin verebilen (bir sandbox kaçışı) bir hata keşfedilmiştir. Bu sandbox kaçışı hatası, 0.11.4 ve öncesindeki sürümlerde mevcut olup 1.8.5 ve 1.10.0 sabitlenmiş sürümleriyle giderilmiştir. Flatpak portal D-Bus servisi (`flatpak-portal`, ayrıca D-Bus servis adı olan `org.freedesktop.portal.Flatpak` olarak da bilinir), bir Flatpak sandbox'ındaki uygulamaların, ya çağıranla aynı güvenlik ayarlarıyla ya da daha kısıtlayıcı güvenlik ayarlarıyla yeni bir sandbox örneğinde kendi alt süreçlerini başlatmalarına olanak tanır. Örneğin bu özellik, Chromium gibi Flatpak ile paketlenmiş web tarayıcılarında, güvenilmeyen web içeriğini işleyecek alt süreçleri başlatmak ve bu alt süreçlere tarayıcının kendisinden daha kısıtlayıcı bir sandbox sağlamak için kullanılır. Savunmasız sürümlerde, Flatpak portal servisi, çağrıcı tarafından belirtilen ortam değişkenlerini ana sistemdeki sandbox dışı süreçlere ve özellikle yeni sandbox örneğini başlatmak için kullanılan `flatpak run` komutuna aktarmaktadır. Kötü niyetli veya ele geçirilmiş bir Flatpak uygulaması, `flatpak run` komutu tarafından güvenilen ortam değişkenlerini ayarlayabilir ve bunları sandbox dışında rastgele kod yürütmek için kullanabilir. Geçici bir çözüm olarak, bu zafiyet `flatpak-portal` servisinin başlaması engellenerek hafifletilebilir ancak bu önlem birçok Flatpak uygulamasının düzgün çalışmasını engelleyecektir. Sorun 1.8.5 ve 1.10.0 sürümlerinde giderilmiştir.