远程 Oracle Linux 7 主机上安装的程序包受到 ELSA-2021-1002 公告中提及的漏洞的影响。

  - Flatpak 是一个用于在 Linux 上构建、分发和运行沙盒式桌面应用程序的系统。0.9.4 至 1.10.2 版本的 Flatpack 的文件转发功能中存在一个漏洞，攻击者可利用此漏洞访问通常不被应用程序权限允许的文件。通过在 Flatpak 应用程序的 .desktop 文件的 Exec 字段中放置特殊标记“@@”和/或“@@u”，恶意应用程序发布者可欺骗 flatpak，使其表现为用户选择使用自己的 Flatpak 应用程序来打开目标文件，从而自动使该文件可用于 Flatpak 应用程序。此问题已在 1.10.2 版本中修复。最小限度的解决方案是第一次提交“不允许在桌面文件中使用 @@ 和 @@U”。建议使用后续提交“dir：保留完整的 @@ 前缀”和“dir：拒绝导出可疑地使用了 @@ 标记的 .desktop 文件”，但并非严格要求。作为变通方案，避免安装来自不受信任来源的 Flatpak 应用程序，或检查“exports/share/applications/*.desktop”中导出的“.desktop”文件（通常是“~/.local/share/flatpak/exports/share/applications/*.desktop”和“/var/lib/flatpak/exports/share/applications/*.desktop”），以确保字面值文件名前没有“@@”或“@@u”。(CVE-2021-21381)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

Oracle Linux 7：flatpak (ELSA-2021-1002)

high Nessus 插件 ID 148219

未找到变更日志