Уязвимость CVE-2026-107466 в flatpak-builder позволяет похищать локальные файлы через манифесты сборки
В flatpak-builder обнаружена уязвимость CVE-2026-107466 (CVSS 6.1, средний уровень), позволяющая обойти проверки изоляции каталогов и прочитать чувствительные файлы хост-системы. Проблема затрагивает пользователей и CI-системы, обрабатывающие специально созданные манифесты сборки, в том числе на Red Hat Enterprise Linux 8, 9 и 10.
Подробности
Уязвимость затрагивает flatpak-builder — утилиту, используемую для сборки приложений Flatpak из манифестов. Согласно описанию, злоумышленник может вызвать утечку информации, убедив пользователя или систему непрерывной интеграции (CI) обработать специально подготовленный манифест сборки. Механизм атаки основан на указании локальных файловых URI (file://) в определениях источников загрузки. При этом flatpak-builder обходит проверки ограничения каталогов (directory confinement checks). В результате конфиденциальные файлы хост-системы, доступные процессу сборки, могут быть прочитаны и включены в артефакты сборки. Это позволяет атакующему получить содержимое файлов, к которым у него не должно быть доступа, — например, учётных данных, ключей или конфигураций, оказавшихся в области видимости процесса. Уязвимости подвержены следующие продукты: Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9 и Red Hat Enterprise Linux 10.Что делать
Основная рекомендация — установить обновления flatpak-builder, выпущенные вендором после публикации CVE-2026-107466. Red Hat обычно сопровождает исправления бюллетенями безопасности (RHSA); их следует отслеживать через официальный портал Red Hat Product Errata. Если немедленное обновление невозможно, целесообразно применить следующие меры предосторожности: - Не запускать сборку flatpak-builder от имени привилегированных пользователей и избегать обработки манифестов из недоверенных источников. - Ограничить доступ процесса сборки к чувствительным каталогам хост-системы с помощью изоляции (контейнеры, отдельные непривилегированные учётные записи). - В CI-конвейерах проверять поступающие манифесты и контролировать, какие источники (в том числе с file:// URI) в них используются. - Регулярно просматривать артефакты сборки на предмет попадания в них посторонних или конфиденциальных данных.Итог
CVE-2026-107466 — уязвимость среднего уровня в flatpak-builder, позволяющая обойти проверки ограничения каталогов и вынести локальные файлы хост-системы в артефакты сборки. Наиболее высокий риск связан с CI-системами, автоматически собирающими сторонние манифесты. Своевременное обновление пакета и изоляция процесса сборки снижают вероятность эксплуатации.Источник: CVE Project (cvelistV5)