Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Flatpak joue encore dans le bac à sable

ft

Ouch :
https://lists.ubuntu.com/archives/focal-changes/2021-February/022745.html

flatpak (1.6.5-0ubuntu0.2) focal-security; urgency=medium

* SECURITY UPDATE: Flatpak sandbox escape via spawn portal (LP: #1911473)
- debian/patches/CVE-2021-21261-1.patch: tests: Add minimal version
of "ok" helper.
- debian/patches/CVE-2021-21261-2.patch: common: Add a backport of
G_DBUS_METHOD_INVOCATION_HANDLED.
- debian/patches/CVE-2021-21261-3.patch: run: Convert all environment
variables into bwrap arguments.
- debian/patches/CVE-2021-21261-4.patch: tests: Expand coverage for
environment variable overrides.
- debian/patches/CVE-2021-21261-5.patch: context: Add --env-fd option.
- debian/patches/CVE-2021-21261-6.patch: portal: Convert --env in
extra-args into --env-fd.
- debian/patches/CVE-2021-21261-7.patch: tests: Exercise --env-fd.
- debian/patches/CVE-2021-21261-8.patch: portal: Do not use
caller-supplied variables in environment.
- debian/patches/CVE-2021-21261-9.patch: tests: Assert that --env= does
not go in `flatpak run` or bwrap environ.
- CVE-2021-21261

et le bug avec les détails :
https://bugs.launchpad.net/ubuntu/+source/flatpak/+bug/1911473

Simon McVittie discovered a bug in the flatpak-portal service that can allow sandboxed applications to execute arbitrary code on the host system (a sandbox escape).

The Flatpak portal D-Bus service (flatpak-portal, also known by its D-Bus service name org.freedesktop.portal.Flatpak) allows apps in a Flatpak sandbox to launch their own subprocesses in a new sandbox instance, either with the same security settings as the caller or with
more restrictive security settings. For example, this is used in Flatpak-packaged web browsers such as Chromium to launch subprocesses
that will process untrusted web content, and give those subprocesses a more restrictive sandbox than the browser itself.

In vulnerable versions, the Flatpak portal service passes caller-specified environment variables to non-sandboxed processes on the host system, and in particular to the flatpak run command that is used to launch the new sandbox instance. A malicious or compromised Flatpak app could set environment variables that are trusted by the flatpak run command, and use them to execute arbitrary code that is not in a sandbox.

De quoi se souvenir de https://flatkill.org/2020/ .

[supprimé]

De toute façon le bac à sable n'est pas obligatoire et la quasi-totalité, pour ne pas dire la totalité, des utilisateurs n'a aucune idée des permissions qui permettent d'en sortir.

Coeur Noir

C'est assez infernal ces « monstrueux » packages. Si les intentions semblent louables - quoi que concernant surtout les développeurs - la concrétisation ( ce que voit l'utilisateur moyen final ) est bien en deçà de ce que proposent les packages « traditionnels » : thèmes, saisies, accès aux médias perso ou amovibles, à /tmp… L'expérience est souvent décourageante pour l'utilisateur « pas-geek-pas-IT-pas-dev ».

Donc sous prétexte 1) que ça arrange les dév' 2) que ça améliore soi-disant la sécurité, on met dans les mains et devant les yeux des utilisateurs normaux des « solutions » pas finies, qui nécessitent encore de nombreux ajustements, en les présentant comme l'avenir des « applications Linux ». Curieux timing. Et curieuse façon de « vendre » ces nouveautés.

Almost all popular apps on Flathub still come with filesystem=host or filesystem=home permissions, in other words, write access to the user home directory (and more) so all it takes to escape the sandbox is trivial echo download_and_execute_evil >> ~/.bashrc. That's it.
On m'explique à quoi servent la plupart des appli's si elles n'ont pas accès aux documents de l'utilisateur - qu'ils se trouvent dans $HOME ou ailleurs ?
Les flatpak ont accès aux fichiers cachés ?

De toute façon le bac à sable n'est pas obligatoire et la quasi-totalité, pour ne pas dire la totalité, des utilisateurs n'a aucune idée des permissions qui permettent d'en sortir.
Ce qui n'empêchera pas l'utilisateur d'en sortir, sans le savoir, en croyant résoudre une incohérence d'UI ou d'UX…

grandtoubab

je suis très satistait de pouvoir ré-utiliser Pitivi en version Flatpak
Pitivi la résurrection

Coeur Noir

Oui grantoubab, on sait que flatpak ou snap proposent des versions récentes de logiciels. Là n'est pas le propos.

grandtoubab

Même pas peur :lol: :lol:

apt policy flatpak
flatpak:
  Installé : 1.10.1-2
  Candidat : 1.10.1-2
 Table de version :
 *** 1.10.1-2 990
        990 https://cdn-aws.deb.debian.org/debian bullseye/main amd64 Packages
        500 https://cdn-aws.deb.debian.org/debian sid/main amd64 Packages
        100 /var/lib/dpkg/status
     1.2.5-0+deb10u3 990
        990 https://cdn-aws.deb.debian.org/debian-security buster/updates/main amd64 Packages

apt changelog flatpak

flatpak (1.10.1-2) unstable; urgency=medium

  * d/patches: Disable FUSE-based revokefs if any of several factors fail.
    This fixes FTBFS in pbuilder, and hopefully also on Launchpad
    autobuilders.

 -- Simon McVittie <smcv@debian.org>  Thu, 28 Jan 2021 22:24:20 +0000

flatpak (1.10.1-1) unstable; urgency=medium

  * New upstream release
    - Fix a regression in 'flatpak build' after fixing CVE-2021-21261
      (Closes: #980323)

 -- Simon McVittie <smcv@debian.org>  Thu, 21 Jan 2021 14:12:22 +0000

flatpak (1.10.0-2) unstable; urgency=medium

  * Upload 1.10.x branch to unstable
  * Add CVE-2021-21261 reference to 1.8.5-1 changelog entry

 -- Simon McVittie <smcv@debian.org>  Sun, 17 Jan 2021 11:51:16 +0000

PS non non surtout pas snap, quelle horreur

Coeur Noir

Hors-sujet :
Tous ces gamins qui croient réinventer la poudre versus tous ces vieux qui prétendent l'avoir inventée ?
Franchement risible un tel argument générationnel sur un forum qui parle essentiellement de « logiciels libres » dont une bonne part de l'essence consiste à …réinventer la roue.

Retour au sujet de ce fil :
⋅ que valent les confinements proposés par flapak et snap ? Apparement pas grand'chose en dehors de wayland, mais qui est capable, ici, de le démontrer ? ( pas moi, je ne fais qu'essayer de comprendre… )
⋅ Wayland - sans flatpak ni snap - ne résout-il pas seul l'essentiel des risques sécuritaires ( liés à Xorg vieillissant ) ?
⋅ pourquoi ces packages à confinement seraient-ils nécessaires quand des distributions proposent des dépôts correctement maintenus ?
⋅ et, pas si accessoirement que ça, quels changements ces confinements impliquent-ils pour l'utilisateur, dans son quotidien informatique ?

Modération : hors sujet déplacé dans la corbeille.

beuguissime

Tu poses les bonnes questions Coeur Noir. Je me pose ces mêmes questions sans réponses.

abecidofugy

Flatpak et Snap ont obligé ma mère a « changer de PC » (bon, elle aurait juste pu changer de disque dur).

C’est fou ce que ça occupe comme place sur le disque dur, et que c’est pas pratique du tout pour enregistrer ses fichiers ou aller les chercher.

On marche sur la tête…

Coeur Noir

@abecidofugy on risque un peu le hors-sujet mais ta mésaventure me fait poser d'autres questions :
⋅ comment ou pourquoi le pc de ta maman s'est retrouvé « trop plein » de snap et/ou flatpak ?
On peut installer des snap sans le savoir - ok - mais pour flatpak on peut vraiment pas le faire « sans savoir » ( sous Ubuntu en tout cas ).
⋅ pour snap ( je pratique peu flatpak ) les problèmes d'accès à des fichiers / partitions / supports amovibles se règlent via les « permissions / autorisations » de chaque appli' en snap.
Il y a aussi des paramètres pour limiter la place qu'ils prennent. Est-ce que cela avait été fait ? Ou y avait-il encore d'autres problèmes ?

Aucun jugement de ma part : ce que tu racontes confirme justement une impression que j'ai encore 4~5 ans après l'introduction de snap dans les LTS d'Ubuntu ( ou l'utilisation de flatpak ) :
ça ne s'adresse qu'à des gens qui ont déjà une bonne connaissance du fonctionnement « classique » de leur système, pour l'utilisateur occasionnel ou pas-spécialement-geek-ni-passionné-par-les-entrailles-de-son-ordinateur c'est vite une source d'incompréhension et de frustration.

Rafbor

Le coup du disque plein à cause des snaps, ça m'est arrivé quand j'ai monté mon SSD, j'avais suivi un tuto erroné ou il était préconisé de mettre "/var" sur une partition du HDD, j'avais alloué 10go, et après quelques temps, les messages de manque d'espace sont apparus.
Résolu en réinstallant avec "/var/log" sur le HDD.

abecidofugy

@Coeur Noir : ma mère n’a rien fait, elle n’a que migré son PC vers la dernière LTS : c’est à partir de ce moment-là que le système a préféré les version snap au lieu des bons vieux deb
Je précise que je n’ai pas son PC sous la main, et que je n’utilise pas encore mon double-boot pour jouir d’une (x)Ubuntu et donc me pencher sur le cas de ces programmes plus volumineux.

Je vais me documenter pour savoir où les autorisations s’activent.

Merci de ton avis/éclaircissement.

Coeur Noir

ma mère n’a rien fait, elle n’a que migré son PC vers la dernière LTS
Et oui c'est justement bien la réponse à laquelle je m'attendais ;-) Je n'accuse ni toi et encore moins ta maman d'avoir fait une « bêtise ». Elle a probablement ouvert « Logiciels » pour installer 2 ou 3 trucs, et là crac si on n'est pas très attentif et au courant, on installe des snaps sans le savoir. C'est ça la bêtise, et elle est déterminée par défaut dans Logiciels.

~~Pour les flatpaks - sous Ubuntu - y'a un peu plus de manip's à faire pour les installer, il me semble.~~ Edit : non plus vraiment, juste une étape préliminaire, installer flatpak depuis les dépôts.

Snap voir prérequis et autres astuces.

Si depuis Logiciels tu ne souhaites plus pouvoir installer de snap ou de flatpak mais que des bons vieux .deb poilus et robustes, alors il faut supprimer les plugins correspondants :
⋅ gnome-software-plugin-flatpak
⋅ gnome-software-plugin-snap

ft

Encore du sable dans le bac :
https://github.com/flatpak/flatpak/issues/4146
et du coup :
https://github.com/flatpak/flatpak/pull/4155
m'a fait découvrir que Flatpak ne disposait pas de procédure codifiée pour signaler un bug de sécurité... Eh beh.