遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2023-6518 公告中提及的多個弱點影響。

  - Flatpak 是用來在 Linux 上建置、發佈和執行沙箱化桌面應用程式的系統。
    1.10.8、1.12.8、1.14.4 和 1.15.4 之前版本包含與 CVE-2017-5226 類似的弱點，但使用的是 `TIOCLINUX` ioctl 命令，而非 `TIOCSTI`。如果在 Linux 虛擬主控台 (例如 `/dev/tty1`) 上執行 Flatpak 應用程式，則它可從虛擬主控台複製文字並將之貼到命令緩衝區中，在 Flatpak 應用程式結束後從該緩衝區執行命令。xterm、gnome-terminal 和 Konsole 等一般圖形終端機模擬器不受影響。僅 Linux 虛擬主控台 `/dev/tty1`、`/dev/tty2` 等會受此弱點影響。已在 1.10.8、1.12.8、1.14.4 和 1.15.4 版中提供修補程式。因應措施為不在 Linux 虛擬主控台上執行 Flatpak。Flatpak 主要用於 Wayland 或 X11 圖形環境。(CVE-2023-28100)

  - Flatpak 是用來在 Linux 上建置、發佈和執行沙箱化桌面應用程式的系統。在 1.10.8、1.12.8、1.14.4 和 1.15.4 之前的版本中，如果攻擊者以提升的權限發布 Flatpak 應用程式，他們就可透過將其他權限設定為包含不可列印之控製字元 (例如 `ESC`) 的特製值，從而向 `flatpak(1)` 命令行介面的使用者隱藏這些權限。1.10.8、1.12.8、1.14.4 和 1.15.4 版現已提供修正。因應措施為使用 GNOME 軟體之類的 GUI 而非命令行介面，或只安裝維護者受您新任的應用程式。
    (CVE-2023-28101)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 9：flatpak (ELSA-2023-6518)

medium Nessus Plugin ID 185824

版本 1.0