Das Linux-Sandboxing-Framework Flatpak hat am 11. August 2026 die Sicherheitsversion 1.18.1 veröffentlicht. Sie behebt zehn CVEs – von einem vollständigen Sandbox-Ausbruch mit Lese- und Schreibzugriff auf das gesamte Host-Dateisystem bis zur Ausweitung auf Root-Rechte. Betreiber und Nutzer sollten umgehend aktualisieren.
Die schwerwiegendsten Lücken
- Sandbox-Ausbruch per Symlink: Ein bösartiger Symlink in einem App-Datenverzeichnis konnte vollen Lese-/Schreibzugriff auf das Host-Dateisystem gewähren (GHSA-8688-9×26-hhxj).
- Root-Rechteausweitung: Über Pfad-Traversal in
revokefsließ sich lokal Root erlangen. - Weitere: ein möglicher Pufferüberlauf auf 32-Bit-Systemen sowie ein Umgehen der Anti-Downgrade-Richtlinie, mit dem unprivilegierte Nutzer System-Apps zurückrollen konnten.
Besonders kritisch ist der Sandbox-Ausbruch, weil Flatpak gerade dafür gedacht ist, nicht vertrauenswürdige Anwendungen vom System zu isolieren. Wird diese Isolation durchbrochen, ist der Schutzgewinn dahin. Parallel zur stabilen 1.18.1 gibt es eine Vorabversion 1.19.0, die dieselben Fixes samt zusätzlicher Funktionen bündelt.
Was jetzt zu tun ist
Das Update sollte auf allen Distributionen zeitnah eingespielt werden – besonders dort, wo OCI-Images oder nicht vertrauenswürdige Anwendungen laufen. Flatpak-Pakete aktualisiert man mit flatpak update; das Framework selbst kommt über den jeweiligen Distributions-Paketmanager. Ein anschließender Neustart der laufenden Flatpak-Apps stellt sicher, dass die gepatchte Laufzeit greift.
Quellen: linuxcompatible.org, Flatpak auf GitHub.
