CVE-2021-41133

Flatpak es un sistema para construir, distribuir y ejecutar aplicaciones de escritorio en sandbox en Linux. En versiones anteriores a 1.10.4 y 1.12.0, las aplicaciones Flatpak con acceso directo a los sockets AF_UNIX, como los usados por Wayland, Pipewire o pipewire-pulse, pueden engañar a los portales y otros servicios del sistema operativo anfitrión para que traten la aplicación Flatpak como si fuera un proceso ordinario del Sistema Operativo anfitrión sin sandbox. Pueden hacer esto al manipular el VFS usando recientes llamadas al sistema relacionadas con el montaje que no están bloqueadas por el filtro seccomp de Flatpak, para sustituir un "/.flatpak-info" diseñado o hacer que ese archivo desaparezca por completo. Las aplicaciones Flatpak que actúan como clientes de sockets AF_UNIX como los usados por Wayland, Pipewire o pipewire-pulse pueden escalar los privilegios que los servicios correspondientes creerán que presenta la aplicación Flatpak. Ten en cuenta que los protocolos que operan completamente sobre el bus de sesión D-Bus (bus de usuario), el bus de sistema o el bus de accesibilidad no están afectados por esto. Esto es debido al uso de un proceso proxy "xdg-dbus-proxy", cuyo VFS no puede ser manipulado por la app Flatpak, cuando interactúa con estos buses. Se presentan parches para las versiones 1.10.4 y 1.12.0, y en el momento de la publicación, se está planeando un parche para la versión 1.8.2. No se presentan soluciones aparte de la actualización a una versión parcheada

A flaw was found in the flatpak package. It is susceptible to a software flaw that can deceive portals and other host-OS services into treating the flatpak app as an ordinary, non-sandboxed host-OS process. This flaw allows the escalation of privileges that the corresponding services presume the flatpak app has. The highest threat from this vulnerability is to confidentiality, integrity, as well as system availability.