Podatności flatpak-builder

W flatpak-builder wykryto wadę, która pozwala atakującemu na ujawnienie informacji poprzez nakłonienie użytkownika lub systemu ciągłej integracji (CI) do przetworzenia spreparowanego manifestu budowania. Poprzez określenie lokalnych identyfikatorów URI plików w definicjach pobierania źródeł, builder omija kontrole ograniczenia katalogu. W rezultacie poufne pliki hosta dostępne dla procesu budowania mogą zostać odczytane i włączone do artefaktów budowania.

W flatpak-builder wykryto błąd polegający na tym, że hooki Git nie są wyłączane podczas stosowania źródeł poprawek z opcją use-git-am: true. Atakujący mogący dostarczyć złośliwe źródło zawierające hook Git post-applypatch może spowodować jego wykonanie na hoście podczas procesu budowania.

flatpak-builder w wersjach od 1.4.5 do przed 1.4.8 pozwala na odczyt dowolnych plików z hosta poprzez klucz manifestu license-files, ponieważ walidacja ścieżek nie rozwiązuje dowiązań symbolicznych w pośrednich komponentach. Skopiowane pliki trafiają do wyniku budowania; podatność naprawiono w 1.4.8.