运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 flatpak 程序包受到一个漏洞影响：

  - Flatpak 是一个用于在 Linux 上构建、分发和运行沙盒式桌面应用程序的系统。0.9.4 至 1.10.2 版本的 Flatpack 的文件转发功能中存在一个漏洞，攻击者可利用此漏洞访问通常不被应用程序权限允许的文件。通过在 Flatpak 应用程序的 .desktop 文件的 Exec 字段中放置特殊标记“@@”和/或“@@u”，恶意应用程序发布者可欺骗 flatpak，使其表现为用户选择使用自己的 Flatpak 应用程序来打开目标文件，从而自动使该文件可用于 Flatpak 应用程序。此问题已在 1.10.2 版本中修复。最小限度的解决方案是第一次提交“不允许在桌面文件中使用 @@ 和 @@U”。建议使用后续提交“dir：保留完整的 @@ 前缀”和“dir：拒绝导出可疑地使用了 @@ 标记的 .desktop 文件”，但并非严格要求。作为变通方案，避免安装来自不受信任来源的 Flatpak 应用程序，或检查“exports/share/applications/*.desktop”中导出的“.desktop”文件（通常是“~/.local/share/flatpak/exports/share/applications/*.desktop”和“/var/lib/flatpak/exports/share/applications/*.desktop”），以确保字面值文件名前没有“@@”或“@@u”。(CVE-2021-21381)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

NewStart CGSL MAIN 6.02：flatpak 漏洞 (NS-SA-2021-0132)

high Nessus 插件 ID 154592

未找到家属