CVE-2021-43860

Flatpak es un marco de distribución y sandboxing de aplicaciones de Linux. Anterior a versiones 1.12.3 y 1.10.6, Flatpak no comprueba correctamente que los permisos mostrados al usuario para una aplicación en el momento de la instalación coincidan con los permisos reales concedidos a la aplicación en tiempo de ejecución, en el caso de que haya un byte nulo en el archivo de metadatos de una aplicación. Por lo tanto, las aplicaciones pueden concederse a sí mismas permisos sin el consentimiento del usuario. Flatpak muestra los permisos al usuario durante la instalación leyéndolos de la clave "xa.metadata" en los metadatos de la confirmación. Esta no puede contener un terminador nulo, porque es una GVariant no confiable. Flatpak compara estos permisos con los metadatos *reales*, del archivo "metadata" para asegurarse de que no le han mentido. Sin embargo, el contenido real de los metadatos es cargado en varios lugares donde son leídos como simples cadenas de estilo C. Esto significa que, si el archivo de metadatos incluye un terminador nulo, sólo el contenido del archivo de *antes* del terminador se compara con xa.metadata. Así, cualquier permiso que aparezca en el archivo de metadatos después de un terminador nulo es aplicado en tiempo de ejecución pero no es mostrado al usuario. Por lo tanto, las aplicaciones diseñadas de forma maliciosa pueden otorgar permisos ocultos. Los usuarios que presentan Flatpaks instalados desde fuentes no confiables están en riesgo en caso de que el Flatpak tenga un archivo de metadatos maliciosamente diseñado, ya sea inicialmente o en una actualización. Este problema está parcheado en las versiones 1.12.3 y 1.10.6. Como medida de mitigación, los usuarios pueden comprobar manualmente los permisos de las aplicaciones instaladas al comprobar el archivo de metadatos o la clave xa.metadata en los metadatos de confirmación

An incorrect authorization vulnerability was found in Flatpak. Flatpak does not properly validate that the permissions displayed to the user for an app at install time match the actual permissions granted to the app at runtime in the case that there's a null byte in the metadata file of an app. This issue allows apps to grant themselves permissions without the user's consent.