CVE-2024-32462 in Flatpak
الملخص
بحسب VulDB • 12/07/2026
Flatpak هو نظام لبناء وتوزيع وتشغيل تطبيقات سطح المكتب المعزولة (sandboxed) على لينكس. في الإصدارات السابقة لـ 1.10.9، و1.12.9، و1.14.6، و1.15.8، كان بإمكان تطبيق Flatpak ضار أو مُخترق تنفيذ تعليمات برمجية عشوائية خارج بيئة العزل الخاصة به. عادةً ما يتوقع الوسيطة `--command` في الأمر `flatpak run` الحصول على أمر لتشغيله داخل تطبيق Flatpak المحدد، مع إمكانية إضافة بعض الوسائط اختيارياً. ومع ذلك، من الممكن بدلاً من ذلك تمرير وسائط لـ `bwrap` إلى `--command=`، مثل `--bind`. ومن الممكن أيضاً تمرير سطر أوامر عشوائي (`commandline`) إلى واجهة بوابة (portal) `org.freedesktop.portal.Background.RequestBackground` من داخل تطبيق Flatpak. عند تحويل هذا الأمر والوسائط إلى وسيطة `--command` ووسائطها، يتحقق ذلك نفس التأثير المتمثل في تمرير الوسائط مباشرةً إلى `bwrap`، وبالتالي يمكن استخدامه للهروب من بيئة العزل (sandbox escape). تتمثل الحل في تمرير الوسيطة `--` إلى `bwrap`، مما يجعله يتوقف عن معالجة الخيارات. وقد كان هذا مدعوماً منذ الإصدار 0.3.0 من bubblewrap. تتطلب جميع الإصدارات المدعومة من Flatpak على الأقل إصداراً من bubblewrap يدعم هذه الميزة. سيخفف xdg-desktop-portal بالإصدار 1.18.4 من هذه الثغرة عن طريق السماح لتطبيقات Flatpak بإنشاء ملفات .desktop للأوامر التي لا تبدأ بـ `--` فقط. تم إصلاح الثغرة في الإصدارات 1.15.8، و1.10.9، و1.12.9، و1.14.6 من Flatpak.
If you want to get best quality of vulnerability data, you may have to visit VulDB.