Hirdetés

  2. Fórumok
  3. OS, alkalmazások
  4. Linux kezdőknek
  5. (kiemelt téma)
  • Téma összefoglaló
    Utoljára frissítve: 2023-12-13 05:03

    PROHARDVER!

    Linux kezdőknek - érdemes beleolvasni, mielőtt kérdezel

Új hozzászólás Aktív témák

  • #87470 sh4d0w félisten Rowon #87464
    Új Válasz #87470
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    sh4d0w

    félisten

    LOGOUT blog (1)

    válasz Rowon #87464 üzenetére

    Tobb okbol is potencialis veszelyforras:
    - a csomag beallitasai kozott szerepel egy filesystem= sor. Amit ide beirsz, ahhoz write access-e van a csomagnak. Ha ez host, akkor a teljes filesystemhez irasi joga van, ha home, akkor a home-odhoz. Mindketto problemas, elobbit nem nagyon kell ecsetelnem, a masodiknal meg mondjuk mehetnek a sajat file-jaid a levesbe - jobb esetben veletlenul, rosszabb esetben ransomware miatt. Semmi nem korlatozza a flatpak keszitojet, mit irhat ide be (a jelenleg altalam ismertek szerint).
    - hiaba reklamozzak rola, nem sandbox. Annyira trivialis kitorni a csomag korlataibol, hogy az nevetseges, de nem vicces. Ez tobb eve problema.
    - mivel megkeruli a szokasos disztribucios csatornakat (pl. FlatHubon keresztul), semmi nem gatolja a csomag keszitojet, hogy rosszindulatu kodot rakjon bele.
    - tegyuk fel, hogy vki csinal egy flatpak csomagot minden rosszindulatot mellozve, de kiderul, hogy egy, vagy tobb lib insecure, a csomag keszitoje meg mondjuk abbahagyja a csomagkeszitest, meghal, nincs ideje ra, akarmi. Alternativak: meghagyod a lyukas csomagot a rendszereden, bizva a szerencsedben (vagy egyszeruen nem is szerzel tudomast rola, hogy baj van), vagy letorlod. Nincs mas lehetoseged, mivel nem a rendszered nativ csomagkezelojen keresztul kapod, tehat a disztribucio maintainere nem tudja kijelolni torlesre. Esetleg frissiti a csomagot a keszitoje, de ahhoz neki is ido kell.

    Teszt: virtualis gepbe - Debian 11 x64, up-to-date - feldobtam a flatpaket, aztan abba egy Google Chrome-ot flatpakbol, majd normal userkent inditottam flatpak run com.google.Chrome paranccsal terminalbol:

    Eloszor is, superuserkent fut - hogy miert, azt nemigen ertem. Masodszor, siman elertem a /etc/passwd file tartalmat, ami gaz. Ugyanezt leteszteltem Operaval is: nem mutatta, hogy superuserkent fut, de a fenti file-t azzal is elertem.

Új hozzászólás Aktív témák