Flatpak: переполнение буфера в путях OCI delta stream на 32-битных системах (CVE-2026-96280)
В Flatpak обнаружена уязвимость переполнения буфера (CVE-2026-96280) с оценкой CVSS 7.5 (HIGH), затрагивающая 32-битные системы. Атакующий, контролирующий OCI-реестр, может сформировать специальный delta stream и вызвать переполнение кучи во время установки или обновления приложения, вплоть до выполнения произвольного кода. Уязвимость затрагивает Red Hat Enterprise Linux 7, 8, 9 и 10.
Подробности
Уязвимость затрагивает Flatpak — популярный инструмент для распространения и запуска изолированных приложений в Linux. Согласно описанию, парсер OCI delta stream считывал значения размеров как guint64 (64-битное целое без знака), однако передавал их в функции ввода-вывода и аллокации библиотеки GLib, которые ожидают аргумент типа gsize. На 32-битных системах gsize имеет разрядность 32 бита, поэтому при передаче 64-битного значения происходило его усечение — выделялся буфер недостаточного размера. При этом последующие операции продолжали использовать исходное 64-битное значение размера, что приводило к записи за границы выделенной области памяти — переполнению буфера в куче (heap buffer overflow). Атакующий, контролирующий OCI-реестр, из которого Flatpak загружает приложения, может подготовить специально сформированный delta stream. При выполнении операции flatpak install или flatpak update это приведёт к срабатыванию уязвимости. Наиболее серьёзный сценарий — потенциальное выполнение произвольного кода на 32-битных системах. Уязвимости присвоена оценка CVSS 7.5 (HIGH). В перечень затронутых продуктов входят Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9 и Red Hat Enterprise Linux 10. Следует учитывать, что эксплуатация возможна только на 32-битных системах, где тип gsize действительно ограничен 32 битами.Что делать
Основная рекомендация — как можно скорее обновить Flatpak до версии, содержащей исправление уязвимости, через штатные каналы обновления вашего дистрибутива (для Red Hat Enterprise Linux — через Red Hat Update Infrastructure). Приоритет обновления следует повысить на 32-битных системах, поскольку именно они подвержены эксплуатации. Если немедленное обновление невозможно, в качестве временной меры стоит ограничить использование недоверенных OCI-реестров: устанавливайте и обновляйте приложения только из проверенных источников. На 64-битных системах риск существенно ниже, так как усечение размера gsize там не происходит, однако обновление всё равно необходимо для устранения ошибки в коде парсера. Дополнительно рекомендуется провести аудит того, из каких OCI-реестров выполнялись установка и обновление Flatpak-приложений, чтобы исключить потенциальное взаимодействие с вредоносным реестром. Итог: CVE-2026-96280 — серьёзная уязвимость переполнения кучи в Flatpak, эксплуатируемая через подконтрольный злоумышленнику OCI-реестр и наиболее опасная на 32-битных системах. Ключевая мера защиты — своевременное обновление Flatpak и осторожность при работе с недоверенными источниками приложений.Источник: CVE Project (cvelistV5)