CVE-2021-41133

Flatpak, Linux üzerinde sandboxed masaüstü uygulamaları oluşturmak, dağıtmak ve çalıştırmak için bir sistemdir. 1.10.4 ve 1.12.0 sürümlerinden önceki sürümlerde, Wayland, Pipewire veya pipewire-pulse tarafından kullanılanlar gibi AF_UNIX soketlerine doğrudan erişimi olan Flatpak uygulamaları, portalları ve diğer ana işletim sistemi hizmetlerini, Flatpak uygulamasını sıradan, sandboxed olmayan bir ana işletim sistemi süreciymiş gibi ele almaya kandırabilir. Bunu, Flatpak'in denylist seccomp filtresi tarafından engellenmeyen son mount ile ilgili syscall'ları kullanarak VFS'yi manipüle ederek, hazırlanmış bir `/.flatpak-info` dosyasını ikame etmek veya bu dosyayı tamamen ortadan kaldırmak için yapabilirler. Wayland, Pipewire veya pipewire-pulse tarafından kullanılanlar gibi AF_UNIX soketleri için istemci olarak hareket eden Flatpak uygulamaları, ilgili hizmetlerin Flatpak uygulamasının sahip olduğuna inanacağı ayrıcalıkları yükseltebilir. Tamamen D-Bus oturum veriyolu (kullanıcı veriyolu), sistem veriyolu veya erişilebilirlik veriyolu üzerinden çalışan protokollerin bundan etkilenmediğini unutmayın. Bunun nedeni, bu veriyollarıyla etkileşim sırasında VFS'si Flatpak uygulaması tarafından manipüle edilemeyen bir proxy süreci olan `xdg-dbus-proxy` kullanılmasıdır. 1.10.4 ve 1.12.0 sürümleri için yamalar mevcuttur ve yayın zamanı itibarıyla 1.8.2 sürümü için bir yama planlanmaktadır. Yamalanmış bir sürüme yükseltmek dışında herhangi bir geçici çözüm yoktur.