Flatpak 1.18.1 chega com importantes correções de segurança para Linux, incluindo falhas de sandbox escape, escalada para root e acesso ao sistema de arquivos.
Uma nova atualização do Flatpak merece atenção dos usuários Linux. O Flatpak 1.18.1 foi lançado nesta terça-feira, 11 de agosto, com foco principalmente em segurança e correção de vulnerabilidades que afetam o isolamento dos aplicativos.
A nova versão corrige problemas que poderiam permitir que um aplicativo escapasse do sandbox, acessasse arquivos do sistema, escrevesse dados com privilégios elevados ou até conseguisse escalada local para root em determinadas condições.
Além das correções de segurança, o lançamento também resolve diversos bugs relacionados a portais, permissões, processamento OCI e ferramentas utilizadas na construção de aplicativos Flatpak.
Flatpak 1.18.1 chega com foco em segurança
O Flatpak foi desenvolvido para distribuir e executar aplicativos Linux em ambientes isolados. A ideia é limitar o acesso de um aplicativo aos recursos do sistema, reduzindo o impacto potencial caso o software apresente comportamento malicioso ou seja comprometido.
Por isso, vulnerabilidades que afetam o mecanismo de isolamento são especialmente importantes.
O Flatpak 1.18.1 corrige uma série de problemas relacionados justamente às fronteiras entre o aplicativo isolado e o sistema hospedeiro. Entre eles está uma falha de sandbox escape que poderia permitir leitura e gravação em qualquer local do sistema de arquivos do host.
Falha poderia permitir escapar do sandbox
O sandbox é uma das principais características de segurança do Flatpak.
Aplicativos executados nesse ambiente possuem acesso limitado aos recursos do sistema, dependendo das permissões concedidas. Essa separação ajuda a impedir que um aplicativo comprometido tenha acesso irrestrito ao computador.
Uma das correções presentes no Flatpak 1.18.1 trata justamente de uma vulnerabilidade capaz de romper esse isolamento.
Segundo as informações do lançamento, a falha poderia permitir que um aplicativo escapasse do sandbox e obtivesse acesso de leitura e escrita ao sistema de arquivos do computador hospedeiro.
Esse tipo de vulnerabilidade é particularmente relevante porque compromete uma das principais camadas de proteção oferecidas pelo Flatpak.
Outra falha poderia levar à escalada para root
O lançamento também corrige uma vulnerabilidade de escalada local de privilégios associada ao revokefs.
O problema envolve uma combinação de manipulação de links simbólicos, traversal de caminhos e alterações indevidas em commits. Em determinadas circunstâncias, isso poderia permitir que um usuário local alcançasse privilégios de root.
A diferença é importante: uma falha de sandbox pode permitir que um aplicativo ultrapasse os limites originalmente impostos, enquanto uma escalada de privilégios pode levar o processo a obter permissões superiores às do usuário que o executou.
Problemas com gravação de arquivos também foram corrigidos
O Flatpak 1.18.1 corrige ainda outras vulnerabilidades relacionadas à gravação de arquivos com privilégios elevados.
Uma delas envolve a extração de dados adicionais, conhecida como extra-data, quando links simbólicos e técnicas de path traversal são utilizados de maneira indevida.
Outra está relacionada ao flatpak build-init.
Em ambos os casos, o problema poderia fazer com que arquivos fossem gravados com privilégios de root.
Essas correções são importantes porque manipulações inadequadas de caminhos e links simbólicos estão entre os problemas que podem transformar uma operação aparentemente limitada em uma alteração fora do diretório esperado.
Correções atingem também o suporte a OCI
O Flatpak 1.18.1 não se limita às falhas relacionadas diretamente ao sandbox.
A atualização também corrige problemas no processamento de imagens e arquivos OCI (Open Container Initiative).
Um dos problemas envolvia path traversal por hardlinks durante a extração de arquivos OCI, podendo permitir que um atacante lesse arquivos presentes no sistema hospedeiro.
Também foi corrigido um buffer overflow relacionado aos nomes de caminhos em fluxos OCI delta em sistemas de 32 bits.
Essas correções mostram que a atualização não trata apenas de uma vulnerabilidade isolada, mas de várias áreas diferentes da infraestrutura do Flatpak.
Ataque envolvendo .ld.so também foi corrigido
Outro problema de segurança corrigido no lançamento envolve um ataque baseado em links simbólicos sobre .ld.so.
A falha poderia permitir que determinados arquivos fossem gravados em locais arbitrários do sistema de arquivos.
Esse tipo de comportamento é particularmente preocupante quando combinado com componentes executados com privilégios elevados, pois pode ampliar significativamente o impacto de uma vulnerabilidade.
Flatpak melhora proteção contra downgrade
O lançamento também aprimora a proteção contra downgrade de aplicativos.
Uma falha permitia que usuários sem privilégios contornassem determinadas salvaguardas e reduzissem a versão de aplicativos instalados.
Embora uma versão anterior de um aplicativo nem sempre represente um problema de segurança por si só, a possibilidade de contornar mecanismos de proteção pode ser perigosa quando uma versão antiga contém vulnerabilidades já corrigidas.
O Flatpak 1.18.1 fecha essa brecha.
Nem todas as mudanças são relacionadas à segurança
Apesar do foco nas vulnerabilidades, a nova versão também traz correções de bugs comuns.
Entre elas está um problema de regressão relacionado ao tratamento de variáveis de ambiente no recurso flatpak-spawn do portal.
Também foram corrigidos problemas envolvendo strings de permissões negadas utilizadas nas opções allow e share do comando run.
O lançamento ainda resolve uma falha de compilação relacionada à exportação dos arquivos releases.xml.
Correções no monitor de atualização e no processamento OCI
O Flatpak 1.18.1 também corrige crashes encontrados no monitor de atualizações do portal e no processamento de JSON utilizado pela infraestrutura OCI.
Outra mudança faz com que o Flatpak retorne um erro quando uma tentativa de encaminhamento de arquivo utiliza um caminho vazio.
São mudanças menos chamativas do que as vulnerabilidades de segurança, mas ajudam a melhorar a estabilidade geral do framework.
Sistema de atualização também recebeu melhorias
A nova versão traz mudanças no funcionamento do componente de sistema responsável por determinadas operações privilegiadas.
O system helper passa a verificar assinaturas utilizando o repositório espelhado, em vez do servidor lookaside.
Também foram corrigidos problemas relacionados ao uso de certificados TLS nas requisições feitas aos registros OCI.
Além disso, erros de gravação em fluxos agora são encaminhados corretamente para o curl.
Quem usa Flatpak deve atualizar?
Sim. Como o Flatpak 1.18.1 corrige diversas vulnerabilidades relacionadas à segurança do sandbox, acesso ao sistema de arquivos e privilégios elevados, é recomendável instalar a atualização quando ela estiver disponível para a sua distribuição.
A disponibilidade pode variar porque o Flatpak é distribuído pelos repositórios das próprias distribuições Linux.
Ou seja, a maioria dos usuários receberá a atualização por meio dos repositórios de pacotes de sua distribuição Linux assim que os mantenedores a empacotarem.
O projeto mantém diferentes versões estáveis e de desenvolvimento, e a página oficial de segurança recomenda acompanhar os pacotes fornecidos pelas distribuições.
Como verificar a versão do Flatpak
Para descobrir qual versão está instalada no Linux, abra o Terminal e execute:
flatpak --versionO comando deverá mostrar a versão atualmente instalada.
Se o sistema ainda estiver utilizando uma versão anterior, verifique as atualizações disponíveis no gerenciador de pacotes da sua distribuição.
Em sistemas baseados em Debian e Ubuntu, por exemplo:
sudo apt update
sudo apt upgradeEm Fedora:
sudo dnf upgradeO procedimento exato pode variar de acordo com a distribuição.
Por que atualizar o Flatpak é importante?
O Flatpak é utilizado por inúmeras distribuições Linux e serve como uma das principais tecnologias para distribuição de aplicativos desktop em formato independente da distribuição.
O próprio projeto descreve o Flatpak como um framework para construir, distribuir e executar aplicativos desktop Linux em sandbox.
Isso faz com que a segurança do mecanismo de isolamento seja especialmente importante.
Uma vulnerabilidade no aplicativo em si pode afetar apenas aquele programa. Já uma falha no próprio framework de sandbox pode atingir uma camada utilizada por muitos aplicativos diferentes.
Flatpak continua sendo uma camada importante de segurança
É importante não interpretar a existência de vulnerabilidades como uma indicação de que o sandbox do Flatpak deixou de ser útil.
Sistemas de isolamento são mecanismos de segurança complexos e, como qualquer componente de software, podem conter falhas.
O ponto positivo é que vulnerabilidades descobertas podem ser corrigidas e distribuídas por meio de atualizações.
O histórico de segurança do projeto mostra que problemas de sandbox escape já receberam correções anteriormente, incluindo a vulnerabilidade CVE-2024-32462, classificada como de alta gravidade e corrigida em diferentes versões suportadas do Flatpak.
Flatpak 1.18.1 merece atenção dos usuários Linux
O Flatpak 1.18.1 é uma atualização particularmente importante porque reúne várias correções de segurança em uma única versão.
Os problemas corrigidos envolvem desde escape do sandbox e acesso ao sistema de arquivos do host até escalada local para root, gravação arbitrária de arquivos, path traversal e falhas no processamento de componentes OCI.
Além disso, a atualização melhora a proteção contra downgrade e resolve diversos problemas de estabilidade e funcionamento.
Para quem utiliza aplicativos Flatpak regularmente, a recomendação é simples: verifique a versão instalada e aplique a atualização assim que o pacote estiver disponível nos repositórios da sua distribuição.
Manter o Flatpak atualizado é especialmente importante porque o framework atua justamente em uma área crítica do desktop Linux: o isolamento e a execução segura de aplicativos.
Para obter mais detalhes sobre essa atualização, consulte o changelog.
Key Takeaways
- Flatpak 1.18.1 foi lançado com foco em segurança, reunindo várias correções que afetam o isolamento e a execução segura de aplicativos no Linux.
- A atualização corrige uma falha de sandbox escape que poderia permitir que um aplicativo obtivesse acesso de leitura e escrita em qualquer local do sistema de arquivos do host.
- Foi reparada uma vulnerabilidade de escalada local para root associada ao revokefs, envolvendo manipulação de links simbólicos, path traversal e commits indevidos.
- Foram corrigidos problemas de gravação de arquivos com privilégios elevados (incluindo extra-data e flatpak build-init), um ataque envolvendo .ld.so e várias falhas no processamento OCI (path traversal por hardlinks e buffer overflow em sistemas 32 bits).
- Usuários devem atualizar: verifique a versão com "flatpak --version" e instale a nova versão quando estiver disponível nos repositórios da sua distribuição, pois a disponibilidade depende dos mantenedores.
