远程 Debian 11/12 主机上安装的多个程序包受到 dsa-5666 公告中提及的一个漏洞影响。

  - Flatpak 是用于在 Linux 上构建、分发和运行沙盒桌面应用程序的系统。在 1.10.9、1.12.9、1.14.6 和 1.15.8 之前版本中，恶意或遭到破坏的 Flatpak 应用程序可在其沙盒外部执行任意代码。通常情况下，系统会为 `flatpak run` 的 `--command`参数提供要在指定 Flatpak 应用程序中运行的命令（可选择性附带一些参数）。但是，可以将 `bwrap` 参数传递到 `--command=`，例如“--bind”。可从 Flatpak 应用程序内将任意 `commandline` 传递到门户界面 `org.freedesktop.portal.Background.RequestBackground`。将其转换为 `--command` 和参数时，可达到将参数直接传递到 `bwrap` 的相同效果，因此可用于沙盒逃逸。解决方案是将  `--` 参数传递给 `bwrap`，这会使其停止处理选项。从 bubblewrap 0.3.0 开始支持此操作。所有受支持的 Flatpak 版本都至少需要该版本的 bubblewrap。xdg-desktop-portal 1.18.4 版本仅允许 Flatpak 应用为不以 -- 开头的命令创建 .desktop 文件，以缓解此漏洞。1.15.8、1.10.9、1.12.9 和 1.14.6 版本已修补此漏洞。(CVE-2024-32462)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dsa-5666：flatpak - 安全更新

high Nessus 插件 ID 193600

版本 1.0