CVE-2022-21682

Flatpak, bir Linux uygulama kum havuzu ve dağıtım çerçevesidir. 1.12.3 ve 1.10.6 öncesindeki Flatpak sürümlerini bir dizin geçişi (path traversal) zafiyeti etkilemektedir. flatpak-builder, derleme sırasında `finish-args` parametresini en son uygular. Bu noktada derleme dizini, manifest dosyasında belirtilen tam erişime sahip olur, dolayısıyla üzerinde `flatpak build` çalıştırılması bu izinlerin kazanılmasına yol açar. Normalde bu işlem yapılmaz, bu nedenle bu bir sorun teşkil etmez. Ancak, `--mirror-screenshots-url` belirtilmişse, flatpak-builder finalizasyondan sonra `--nofilesystem=host` korumasına rağmen sorunlara yol açabilen `flatpak build --nofilesystem=host appstream-utils mirror-screenshots` komutunu başlatır. Normal kullanımda tek sorun, kullanıcının yazma iznine sahip olduğu herhangi bir yerde bu boş dizinlerin oluşturulabilmesidir. Bununla birlikte, kötü niyetli bir uygulama `appstream-util` ikili dosyasını değiştirerek potansiyel olarak daha saldırgan işlemler gerçekleştirebilir. Bu durum, `--nofilesystem=home` ve `--nofilesystem=host` davranışlarının değiştirilmesiyle Flatpak 1.12.3 ve 1.10.6 sürümlerinde çözülmüştür.