CVE-2022-21682

Flatpak es un marco de distribución y sandboxing de aplicaciones Linux. Una vulnerabilidad de salto de ruta afecta a las versiones de Flatpak anteriores a 1.12.3 y 1.10.6. flatpak-builder aplica "finish-args" en último lugar en la construcción. En este punto, el directorio de construcción tendrá el acceso completo que es especificado en el manifiesto, por lo que la ejecución de "flatpak build" contra él ganará esos permisos. Normalmente esto no se realiza, por lo que no es un problema. Sin embargo, si se especifica "--mirror-screenshots-url", entonces flatpak-builder lanzará "flatpak build --nofilesystem=host appstream-utils mirror-screenshots" tras la finalización, lo que puede conllevar a problemas incluso con la protección "--nofilesystem=host". En un uso normal, el único problema es que estos directorios vacíos pueden crearse en cualquier lugar donde el usuario tenga permisos de escritura. Sin embargo, una aplicación maliciosa podría reemplazar el binario "appstream-util" y potencialmente hacer algo más hostil. Esto ha sido resuelto en Flatpak versiones 1.12.3 y 1.10.6, al cambiar el comportamiento de "--nofilesystem=home" y "--nofilesystem=host"

A path traversal vulnerability was found in Flatpak. This happens when flatpak-builder applies `finish-args` last in the build. At this point the build directory will have the full access that is specified in the manifest, so running `flatpak build` against it will gain those permissions.