Уязвимость TOCTOU в Flatpak позволяет перенаправлять симлинки (CVE-2026-76925)
В компоненте SystemHelper фреймворка Flatpak обнаружена гонка состояний типа TOCTOU, позволяющая атакующему перенаправлять симлинки на произвольные файлы. Уязвимость затрагивает Red Hat Enterprise Linux 7–10 и имеет оценку CVSS 5.8 (MEDIUM). Требуется обновление Flatpak до исправленной версии.
Подробности
Уязвимость возникает из-за того, что привилегированная операция `chmod` выполняется до проверки целостности OSTree-репозитория внутри функции `Deploy()`. Это создает временное окно (race condition), в течение которого атакующий может подменить пути и перенаправить симлинки на произвольные файлы системы. В результате возможна несанкционированная модификация файлов или раскрытие конфиденциальной информации. Затронутые продукты: Red Hat Enterprise Linux 7, 8, 9 и 10. Базовый вектор CVSS v3 оценивает уязвимость в 5.8 балла (MEDIUM), что указывает на умеренный, но реальный риск для целостности и конфиденциальности данных в корпоративных средах. Для успешной эксплуатации атакующему требуется локальный доступ к системе и возможность влиять на процесс развертывания Flatpak-приложений. Однако в многопользовательских средах или средах виртуализации риск существенно возрастает.Что делать
Red Hat уже выпустила обновления пакетов Flatpak для всех затронутых версий RHEL. Рекомендуется незамедлительно выполнить обновление через стандартные механизмы: ``` sudo yum update flatpak ``` или ``` sudo dnf update flatpak ``` Для систем, где немедленное обновление невозможно, в качестве временной меры рекомендуется ограничить доступ к запуску привилегированных операций Flatpak для недоверенных пользователей, а также усилить мониторинг подозрительной активности в каталогах развертывания пакетов. Специалистам по безопасности следует проверить журналы аудита на предмет несанкционированных попыток изменения симлинков в области OSTree-хранилищ и временных каталогов Flatpak.Итог
CVE-2026-76925 — еще одно напоминание о том, что даже в зрелых компонентах экосистемы Linux могут существовать трудноуловимые дефекты синхронизации. Организациям, использующим RHEL с включенным Flatpak, необходимо оперативно применить исправления. Своевременное обновление и регулярный аудит привилегированных компонентов остаются ключевыми мерами защиты от подобных угроз.Источник: CVE Project (cvelistV5)