CVE-2024-32462

Flatpak, Linux üzerinde kum havuzu (sandbox) içinde çalışan masaüstü uygulamaları oluşturmak, dağıtmak ve çalıştırmak için kullanılan bir sistemdir. 1.10.9, 1.12.9, 1.14.6 ve 1.15.8 öncesindeki sürümlerde, kötü niyetli veya ele geçirilmiş bir Flatpak uygulaması, kendi kum havuzunun dışında rastgele kod çalıştırabilir. Normalde, `flatpak run` komutunun `--command` argümanı, belirtilen Flatpak uygulamasında çalıştırılacak bir komutu ve isteğe bağlı olarak bazı argümanları bekler. Ancak bunun yerine `--command=` kısmına `--bind` gibi `bwrap` argümanlarının iletilmesi mümkündür. Bir Flatpak uygulaması içerisinden `org.freedesktop.portal.Background.RequestBackground` portal arayüzüne rastgele bir `commandline` iletilebilir. Bu ifade bir `--command` ve argümanlara dönüştürüldüğünde, argümanların doğrudan `bwrap`'e iletilmesiyle aynı etkiyi yaratır ve böylece kum havuzundan kaçış (sandbox escape) için kullanılabilir. Çözüm, seçeneklerin işlenmesini durduran `--` argümanının `bwrap`'e iletilmesidir. Bu özellik bubblewrap 0.3.0 sürümünden beri desteklenmektedir. Flatpak'in tüm desteklenen sürümleri, bubblewrap'in en az bu sürümünü gerektirir. xdg-desktop-portal 1.18.4 sürümü, Flatpak uygulamalarının yalnızca `--` ile başlamayan komutlar için .desktop dosyaları oluşturmasına izin vererek bu güvenlik açığını hafifletecektir. Güvenlik açığı 1.15.8, 1.10.9, 1.12.9 ve 1.14.6 sürümlerinde giderilmiştir.