CVE-2026-96807: уязвимость в Flatpak позволяет песочнице писать файлы за своими пределами
В Flatpak до версии 1.18.1 обнаружена уязвимость среднего уровня опасности (CVSS 4.0). Вредоносное приложение внутри песочницы может подменить файл .ld.so символической ссылкой и заставить механизм regenerate_ld_cache записывать данные в произвольное место файловой системы. Эксплуатация затруднена, поскольку имена и содержимое записываемых файлов не контролируются атакующим.
Подробности
Уязвимость присутствует в Flatpak до версии 1.18.1. Согласно описанию, вредоносное приложение, уже работающее внутри песочницы, может заменить путь ~/.var/app/$appid/.ld.so символической ссылкой. При последующем запуске механизма regenerate_ld_cache, отвечающего за генерацию кэша динамического компоновщика, система выполняет запись файлов по пути, на который указывает эта ссылка, — то есть в произвольное место файловой системы за пределами, отведёнными приложению. Уязвимость классифицирована как CWE-59 (Improper Link Resolution Before File Access, «ненадлежащее разрешение ссылок»). Оценка по CVSS составляет 4 балла — средний уровень критичности. Существенно, что имена и содержимое записываемых файлов не контролируются атакующим: злоумышленник может повлиять только на место записи, но не на сами данные. Именно это ограничение делает эксплуатацию сложной и снижает потенциальный ущерб — возможность целенаправленно перезаписать конкретный конфигурационный файл или внедрить произвольный код у атакующего отсутствует. Тем не менее сама по себе запись за пределами песочницы подрывает модель изоляции Flatpak и в ряде сценариев может привести к порче файлов или нарушению работы других приложений.Что делать
Основная и наиболее надёжная рекомендация — обновить Flatpak до версии 1.18.1 или более поздней. Обновление устраняет саму возможность подмены пути через символическую ссылку и восстанавливает корректное поведение regenerate_ld_cache. После обновления также рекомендуется: — проверить дистрибутивные репозитории на наличие патчей: многие дистрибутивы Linux поставляют Flatpak как системный пакет и могут выпустить обновление отдельно от upstream-релиза; — перезапустить систему или как минимум перелогиниться, чтобы обновлённые компоненты вступили в силу; — проявлять осторожность при установке приложений из сторонних источников (remote-репозиториев), поскольку уязвимость требует запуска вредоносного кода внутри песочницы; — рассмотреть аудит содержимого каталогов ~/.var/app/ на предмет подозрительных символических ссылок, особенно если в системе уже запускались непроверенные Flatpak-приложения. Специализированных митигаций, полностью заменяющих установку патча, разработчиками не предложено: ограничение доступа приложений к собственным каталогам данных является штатным поведением, и обходное решение свелось бы к отказу от использования функциональности Flatpak. Итог: CVE-2026-96807 — уязвимость среднего уровня, которая не позволяет напрямую выполнить произвольный код, но нарушает границы изоляции Flatpak. Риск снижается сложностью эксплуатации, однако обновление до версии 1.18.1 остаётся обязательным шагом для всех, кто использует эту систему распространения приложений.Источник: CVE Project (cvelistV5)