Új hozzászólás Aktív témák

• #87470 sh4d0w félisten Rowon #87464

  Új Válasz 2023-01-06 19:17:36 #87470

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sh4d0w

  félisten

  válasz Rowon #87464 üzenetére

  Tobb okbol is potencialis veszelyforras:
  - a csomag beallitasai kozott szerepel egy filesystem= sor. Amit ide beirsz, ahhoz write access-e van a csomagnak. Ha ez host, akkor a teljes filesystemhez irasi joga van, ha home, akkor a home-odhoz. Mindketto problemas, elobbit nem nagyon kell ecsetelnem, a masodiknal meg mondjuk mehetnek a sajat file-jaid a levesbe - jobb esetben veletlenul, rosszabb esetben ransomware miatt. Semmi nem korlatozza a flatpak keszitojet, mit irhat ide be (a jelenleg altalam ismertek szerint).
  - hiaba reklamozzak rola, nem sandbox. Annyira trivialis kitorni a csomag korlataibol, hogy az nevetseges, de nem vicces. Ez tobb eve problema.
  - mivel megkeruli a szokasos disztribucios csatornakat (pl. FlatHubon keresztul), semmi nem gatolja a csomag keszitojet, hogy rosszindulatu kodot rakjon bele.
  - tegyuk fel, hogy vki csinal egy flatpak csomagot minden rosszindulatot mellozve, de kiderul, hogy egy, vagy tobb lib insecure, a csomag keszitoje meg mondjuk abbahagyja a csomagkeszitest, meghal, nincs ideje ra, akarmi. Alternativak: meghagyod a lyukas csomagot a rendszereden, bizva a szerencsedben (vagy egyszeruen nem is szerzel tudomast rola, hogy baj van), vagy letorlod. Nincs mas lehetoseged, mivel nem a rendszered nativ csomagkezelojen keresztul kapod, tehat a disztribucio maintainere nem tudja kijelolni torlesre. Esetleg frissiti a csomagot a keszitoje, de ahhoz neki is ido kell.

  Teszt: virtualis gepbe - Debian 11 x64, up-to-date - feldobtam a flatpaket, aztan abba egy Google Chrome-ot flatpakbol, majd normal userkent inditottam flatpak run com.google.Chrome paranccsal terminalbol:

  

  Eloszor is, superuserkent fut - hogy miert, azt nemigen ertem. Masodszor, siman elertem a /etc/passwd file tartalmat, ami gaz. Ugyanezt leteszteltem Operaval is: nem mutatta, hogy superuserkent fut, de a fenti file-t azzal is elertem.

Új hozzászólás Aktív témák