Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения"	+/–
Сообщение от opennews (?), 08-Апр-26, 10:54
В опубликованном несколько часов назад корректирующем выпуске системы  самодостаточных пакетов Flatpak 1.16.4, а также в экспериментальном выпуске 1.17.4, устранена  уязвимость (CVE-2026-34078), позволяющая вредоносному или скомпрометированному приложению в формате flatpak, обойти установленный режим sandbox-изоляции, получить доступ к файлам в основной системе и выполнить произвольный код вне режима изоляции. Проблеме присвоен критический уровень опасности (9.3 из 10)... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=65170
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
Сообщение от iPony128052 (?), 08-Апр-26, 10:54
Никогда не было и вот опять.
Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (5), 08-Апр-26, 11:25
	Согласен, поэтому песочницы в принципе не нужны. Запускаю любой код от рута, так как это проще и не нужно с правами заморачиваться.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
	Сообщение от User (??), 08-Апр-26, 11:45
	Через curl|sudo, надеюсь? Чтоб ещё и проблемы с доставкой решить?
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+4 +/–
	Сообщение от Аноним (5), 08-Апр-26, 11:57
	Да, а домены по памяти ввожу. Кстати, заметил, что при небольших опечатках установка всё равно происходит.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (27), 08-Апр-26, 12:22
	пароль надеюсь пустой
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (35), 08-Апр-26, 12:31
	Это ECC в ядре работает
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	41. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от User (??), 08-Апр-26, 12:37
	> Да, а домены по памяти ввожу. Кстати, заметил, что при небольших опечатках > установка всё равно происходит. Не, ну ты там поосторожней -  не офигивай в атаке. Делай хотя бы curl|sudo-rs, что ли... Информационная безопасность - это ВАЖНО!
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	34. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от искр (?), 08-Апр-26, 12:30
	Да, верно. На Виндовсах никогда по этому поводу не парились, так и делают до сих пор.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

2. Скрыто модератором	+/–
Сообщение от Аноним (2), 08-Апр-26, 11:07
Ура!
Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	–4 +/–
Сообщение от Аноним (3), 08-Апр-26, 11:14
Любители флатпака - купите себе уже второй комп и накатите на него себе иксы + barrier. Одни плюсы в таком сетапе: больше CPU, больше мониторов, больше дисков, больше оперативки!
Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (47), 08-Апр-26, 12:45
	> сервис flatpak-portal позволяет приложению указывать в опции sandbox-expose файловые пути, которые из-за отсутствия должных проверок могут быть символическими ссылками, указывающими на произвольные части ФС Они и там смогут указать сетевые пути.
	Ответить | Правка | Наверх | Cообщить модератору

4. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
Сообщение от Аноним (4), 08-Апр-26, 11:23
>вредоносному или скомпрометированному приложению в формате flatpak Напомните, как происходит проверка загружаемых пакетов в flatpak? Допустим, злобный инопланетный Буратино решил загрузить свой зловредный пакет в flatpak, под видом просмоторщика манги. Какой механизм проверки кода загружаемого пакета?
Ответить | Правка | Наверх | Cообщить модератору

	6. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 11:34
	Ручной ревью людьми у них там. Загрузить пакет в снап - дело 5 минут через автоматизированный веб-интерфейс. В флатхабе затребовали видео работы приложения, накинули кучу вопросов при ревью, заигнорили на уточняющих вопросах в ответ и PR в результате висит третью неделю уже.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (5), 08-Апр-26, 11:36
	> PR в результате висит третью неделю уже Зато труъ, не зависит от клятого корпората canonical.
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
	Сообщение от Аноним (12), 08-Апр-26, 11:49
	Оно? https://github.com/flathub/flathub/pull/8183 "obscure unmaintainable dark magic" во flathub не мест0 automerge-flathubbot-prs - большая ошибка (предполагается, что каждый PR тестируется вручную) TL;DR Я на стороне ревьюверов
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	16. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 11:56
	> Оно? https://github.com/flathub/flathub/pull/8183 "obscure unmaintainable dark magic" > во flathub не мест0 > automerge-flathubbot-prs - большая ошибка (предполагается, что каждый PR тестируется > вручную) > TL;DR Я на стороне ревьюверов Удачи им в росте и становлении "the App Store for Linux" с требованием тестировать каждый апдейт вручную
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 12:02
	Как минимум убедиться, что оно вообще запускается, а не падает с ошибкой сразу же.
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от iPony128052 (?), 08-Апр-26, 11:51
	Завидую терпению, без сарказма.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	15. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 11:54
	Это не срок, в других репозиториях PR висят годами
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от iPony128052 (?), 08-Апр-26, 11:58
	я не про скрок (когда надо просто ждать), а сколько надо разгребать ради Flatpak
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 12:04
	Надо сразу делать с best practices, остальные PR быстро проходят
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:17
	> Надо сразу делать с best practices, остальные PR быстро проходят хз, там под сотню открытых PR
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 12:20
	Большинство висят в awaiting-changes (от автора) (также см. соотношение открытых к закрытым - 92/6285 на текущий момент)
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:22
	> Большинство висят в awaiting-changes (от автора) (также см. соотношение открытых к закрытым > - 92/6285 на текущий момент) Ну мы не знаем сколько закрытые висели открытыми перед тем, как их закрыли. Да и на моем PR висит awaiting-changes, а по факту я жду от них ответа что вообще дальше делать.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 12:27
	> что вообще дальше делать Сделать как запрашивают без rule exceptions.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:28
	>> что вообще дальше делать > Сделать как запрашивают без rule exceptions. Без них будет очень мучительно обновлять: вручную у кучи компонент коммиты менять каждый раз
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (40), 08-Апр-26, 12:36
	> кучи компонент Типичный Telegram. https://github.com/telegramdesktop/tdesktop - и .claude есть - tdesktop теперь AI slop.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (40), 08-Апр-26, 12:37
	Я вообще удалила его и перешла на голубиную почту.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:39
	>> что вообще дальше делать > Сделать как запрашивают без rule exceptions. Они кстати могли бы ответить и прямо сказать если дело действительно в этом, а не морозиться неделями
	Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

	44. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (44), 08-Апр-26, 12:41
	Так и сказали - https://github.com/flathub/flathub/pull/8183#issuecomment-41...
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:42
	> Так и сказали - https://github.com/flathub/flathub/pull/8183#issuecomment-41... Прочитай через сообщение
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (50), 08-Апр-26, 12:48
	Ок, вижу Проблема с Qt? Попробуйте так https://pastebin.com/L2gnQVex
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	51. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:49
	> Ок, вижу > Проблема с Qt? > Попробуйте так https://pastebin.com/L2gnQVex не очень понял, это кажется отрывок из манифеста в PR?
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

	53. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (50), 08-Апр-26, 12:51
	А вижу, вы уже это пофиксили, сейчас посмотрю, почему падает сборка
	Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

	55. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:52
	> А вижу, вы уже это пофиксили, сейчас посмотрю, почему падает сборка Она падает потому что нужны исключения, я спросил что дальше, сами будут дальше что-то делать или мне самому PR создавать, но они морозятся.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	54. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от ilyafedin (ok), 08-Апр-26, 12:51
	> Ок, вижу > Проблема с Qt? > Попробуйте так https://pastebin.com/L2gnQVex Ну и я хз в чем там именно проблема, они же морозятся
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

	7. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+2 +/–
	Сообщение от Аноним (5), 08-Апр-26, 11:34
	Напомните мне, как происходит проверка загружаемых пакетов в репо deb? Допустим, китаец захотел встроить бекдор в stardict под видом словаря. Какой механизм проверки кода?
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	11. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от User (??), 08-Апр-26, 11:49
	Ты там эта! Не дискредитировай давай! Тысячагласс бдит!
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (12), 08-Апр-26, 11:51
	Никакой проверки не происходит, как пример xz-utils с бэкдором успешно было в Debian sid репозитории
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	17. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
	Сообщение от bgghufghjgv (?), 08-Апр-26, 11:56
	Так там ему и место: если до тестинга и стейбло не дошло -- все ок.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	–1 +/–
	Сообщение от Аноним (12), 08-Апр-26, 12:05
	Заметили благодаря случайности
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	–1 +/–
	Сообщение от Аноним (30), 08-Апр-26, 12:25
	Притворяется американцем и его код становится по умолчанию доверенным и безопасным.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	9. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от q (ok), 08-Апр-26, 11:36
	Все пакеты -- в гитхабе организации flathub. Попробуй открыть там пулл-реквест с вредоносными изменениями. О результатах отпишись.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	26. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (26), 08-Апр-26, 12:21
	Если вы любитель манги, то это уже большая дыра. Ешьте, апельсины, яблоки. Наши обычные европейские фрукты.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

25. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+2 +/–
Сообщение от Нещнпю (?), 08-Апр-26, 12:21
Dbus Ну кто бы мог подумать!
Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (47), 08-Апр-26, 12:50
	> В качестве обходного пути защиты можно отключить сервис flatpak-portal Не то что можно, нужно отключать. Вместе с системдой и дбасом. Что-то на дбас столько стараются завязать, чтобы без дбаса невозможно было собрать систему. Пока это получается для встроек.
	Ответить | Правка | Наверх | Cообщить модератору

29. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
Сообщение от Ананоним (?), 08-Апр-26, 12:24
Друшлаг!
Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
Сообщение от Аноним (27), 08-Апр-26, 12:29
Я опрашивал многих студентов, и уверенно скажу, что большинство не различают откуда они ставят флатпаки. Любой из них с легкостью добавит левый репо, если его разрекламировать, и скачает зловред. Благодаря дистрибам flathub выглядит рядовым поставщиком ПО, ничем не выделяющимся среди других, и нигде не поясняется что это официальный магазин, а все другое может быть опасно.
Ответить | Правка | Наверх | Cообщить модератору

	37. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	–1 +/–
	Сообщение от Профессор Кислвх Щей (?), 08-Апр-26, 12:34
	У нас на Винде и маке студенты. Какой то у вас нищий вуз
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (40), 08-Апр-26, 12:34
	> левый репо Это и к apt относится, пример Ubuntu PPA
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	56. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от Аноним (47), 08-Апр-26, 12:52
	> большинство не различают откуда они ставят флатпаки На то они и студенты. Для прояснения ситуации: это же не среди студенток филфака опрос был? Наверняка участвовали студенты IT-направлений на математических факультетах.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

36. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
Сообщение от искр (?), 08-Апр-26, 12:34
Делали эту шляпу чтобы было безопасно, а в итоге стало наоборот. Наверняка это сделали по умыслу (по ошибке? не думаю. значит специально), просто сейчас кто-то этот бекдорчик наконец раскопал.
Ответить | Правка | Наверх | Cообщить модератору

	39. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+1 +/–
	Сообщение от Аноним (40), 08-Апр-26, 12:35
	Менее безопасно, чем традиционные репозитории, не стало.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
	Сообщение от q (ok), 08-Апр-26, 12:45
	> в итоге стало наоборот Ты серьезно не отличаешь ситуации "неймспейсы спасают в 99% случаев" от "неймспейсов нет вообще, всем можно всё всегда в 100% случаев"?
	Ответить | Правка | К родителю #36 | Наверх | Cообщить модератору

46. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
Сообщение от Аноним (47), 08-Апр-26, 12:43
> Уязвимость во Flatpak, позволяющая выполнить код вне изолированного окружения Хорошая фича, современная.
Ответить | Правка | Наверх | Cообщить модератору

49. Скрыто модератором	–1 +/–
Сообщение от Axonic (ok), 08-Апр-26, 12:46
Исправили — и молодцы. Чего гудеть-то?.. Хуже, когда в приложении/технологии/протоколе ничего не исправляют.
Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимость во Flatpak, позволяющая выполнить код вне изолиро..."	+/–
Сообщение от Аноним (57), 08-Апр-26, 12:58
Самый прикол, что даже разраб знает о такой проблеме с символическими ссылками, то всё равно нельзя достоверно сказать как писать код, чтобы он не был к этому уязвим.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема