CVE-2026-94422
WysokieCVSS 8.8Streszczenie
xdg-dbus-proxy przed wersją 0.1.9 ma nieprawidłową implementację filtrowania wiadomości, która pozwala atakującemu na obejście zamierzonego filtrowania na sesyjnej magistrali D-Bus przez ustawienie numeru odpowiedzi na wiadomościach niebędących odpowiedziami. Złośliwa lub skompromitowana aplikacja Flatpak może wykorzystać to do wykonania kodu poza sandboxem.
Ocena ryzyka
Organizacja może być narażona na naruszenie izolacji aplikacji Flatpak, co może prowadzić do nieautoryzowanego dostępu do systemu lub danych, jeśli aplikacje są uruchamiane w środowisku Flatpak.
Rekomendacja
Zaleca się aktualizację xdg-dbus-proxy do wersji 0.1.9 lub nowszej oraz przegląd konfiguracji sandboxów Flatpak i Firejail.
Inne podatności w xdg-dbus-proxy
Zobacz wszystkie- CVE-2026-93676Niskie
xdg-dbus-proxy nieprawidłowo filtruje komunikaty rozgłoszeniowe D-Bus, omijając skonfigurowane ograniczenia ścieżek, interfejsów i elementów. Umożliwia to aplikacji Flatpak działającej w piaskownicy przechwytywanie sygnałów rozgłoszeniowych na sesyjnej szynie D-Bus oraz szynie AT-SPI, które powinny być ograniczone.
- CVE-2026-34080Średnie
xdg-dbus-proxy przed wersją 0.1.7 zawiera podatność w parserze polityk, która pozwala na ominięcie ograniczeń podsłuchiwania. Proxy nieprawidłowo obsługuje przypadki takie jak 'eavesdrop ='true'' (ze spacją przed znakiem równości), co umożliwia klientom przechwytywanie komunikatów D-Bus, do których nie powinni mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
An incorrect implementation of message filtering in xdg-dbus-proxy versions before 0.1.9 allows an attacker to bypass the intended message filtering on the D-Bus session bus by setting a reply serial number on non-reply messages. A malicious or compromised Flatpak app could use this to achieve arbitrary code execution outside its sandbox. xdg-dbus-proxy was designed to be part of the sandbox boundary for Flatpak, but it is released as a separate project and is sometimes used by other app frameworks such as Firejail.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS