Das Flatpak-Projekt hat am 11. August 2026 die Version 1.18.1 freigegeben. Es handelt sich um das erste Wartungsupdate der stabilen 1.18er-Serie und bringt eine Reihe von Fehlerbehebungen sowie mehrere sicherheitsrelevante Korrekturen. Nutzer und Distributionen werden empfohlen, die neue Version schnellstmöglich aus den stabilen Paketquellen zu beziehen.

Was dieses Release zusammenfasst

Flatpak 1.18.1 folgt rund zwei Monate auf die Hauptversion 1.18 und konzentriert sich auf Stabilität und Sicherheit. Neben Korrekturen an den Portalen und dem Build-Tooling adressiert das Update mehrere Schwachstellen, die Angreifern je nach Szenario Lese- oder Schreibzugriff auf Teile des Host-Dateisystems oder sogar Root-Rechte ermöglichten.

Wichtige Funktions- und Stabilitätskorrekturen

• Behebung einer Regression im Umgang mit der Umgebung von flatpak-spawn-Portalen. Das fehlleitende Verhalten konnte zu unerwarteten Laufzeitfehlern führen.
• Crashfix für den Portal-Update-Monitor, der unter bestimmten Umständen abstürzte.
• Behebung einer GI-Annotation (GObject Introspection) für die Funktion flatpak_instance_get_al, die zu Problemen bei Bindings führen konnte.
• Fehlerbehebung beim Weiterleiten von Dateien: Leere Pfadangaben führten teilweise zu einem vorzeitigen Fehlerabbruch.
• Build-Probleme beim Export von Metainfo-Dateien (releases.xml) wurden korrigiert.
• Korrekturen bei negierten Berechtigungsstrings für die Laufoptionen --allow und --share.
• Fehler beim Schreiben mit curl, wenn TLS-Zertifikate bei OCI-Registry-Anfragen eingesetzt wurden, wurden behoben.
• Probleme bei der OCI-Signaturprüfung wurden adressiert.

Sicherheitsfixes im Detail

Die Sicherheitskorrekturen in 1.18.1 decken eine Reihe unterschiedlicher Angriffsvektoren ab. Einige der wichtigsten Schwachstellen waren Pfad- beziehungsweise Symlink-Traversals, die in Kombination mit Flatpaks Extraktions- oder Initialisierungsvorgängen zu weitreichenden Folgen führen konnten:

Symlink- und Pfad-Traversal

• Angreifer konnten durch geschicktes Anlegen von Symlinks in App-Datenverzeichnissen eine Sandbox-Umgehung erreichen, die Lese- und Schreibzugriff auf das gesamte Host-Dateisystem ermöglichte. Dieser Fall wurde als Sandbox-Escape klassifiziert und geschlossen.
• Eine Schwachstelle in revokefs erlaubte Pfad-Traversal über Symlinks kombiniert mit Commit-Manipulationen, was eine lokale Root-Privilege-Eskalation ermöglichte. Dieses Problem wurde behoben.
• Bei der Extraktion von Zusatzdaten (extra-data) konnte eine Kombination aus Symlink- und Pfad-Traversal zu willkürlichen Schreibzugriffen als Root führen. Auch diese Logik wurde korrigiert.
• Der Befehl flatpak build-init enthielt eine Pfad-Traversal-Schwachstelle, die Schreibvorgänge außerhalb des beabsichtigten Zielortes zuließ; dieses Verhalten ist nun gefixt.

Archiv- und Metadaten-Handling

• Beim Entpacken von OCI-Archiven war ein Hardlink-basiertes Pfad-Traversal möglich, das zu unerlaubtem Lesen von Host-Dateien führte. Dieser Extraktionspfad wurde abgesichert.
• Die Verarbeitung von Erweiterungsmetadaten enthielt eine Pfad-Traversal-Lücke, die das Ausspähen des Host-Dateisystems oder das Mounten an ungewollten Orten erlaubte. Auch hier wurden Prüfungen ergänzt.
• In DeployAppstream wurde ein Architekturoptionen-Parameter nicht ausreichend validiert, wodurch Pfad-Traversal möglich wurde; das heißt: unzulässige Eingaben konnten zu Dateizugriffen außerhalb erwarteter Bereiche führen und wurden nun eingeschränkt.

Weitere Sicherheitsprobleme

• Ein Pufferüberlauf bei Pfadnamen in OCI-Delta-Streams betraf insbesondere 32-Bit-Systeme; dieser Fehler wurde beseitigt, um Abstürze oder potenzielle Codeausführung zu verhindern.
• Eine Anti-Downgrade-Bypass-Schwäche erlaubte es unprivilegierten Benutzern, System-Apps auf eine ältere Version zurückzusetzen. Diese Umgehung wurde geschlossen.
• Durch eine Symlink-Attacke konnten feste Dateinamen wie solche unter .ld.so auf beliebige Orte geschrieben werden. Auch dieser Angriffsvektor wurde gefixt.

Konsequenzen und Empfehlungen

Die Bandbreite der behobenen Probleme reicht von Stabilitätsverbesserungen bis zu kritischen Sicherheitslücken, die lokale Root-Rechte oder weite Dateisystemzugriffe ermöglichten. Da Flatpak auf vielen Distributionen als Systemkomponente für das Sandboxen und Verteilen von Anwendungen eingesetzt wird, ist ein zeitnahes Einspielen der Korrekturen empfehlenswert.

Administratoren und Anwender sollten wie folgt vorgehen:

• Prüfen Sie die Paketquellen Ihrer Distribution und installieren Sie die Flatpak-Updates, sobald sie dort verfügbar sind.
• Wenn Sie Flatpak aus dem Quellcode betreiben oder selbst kompilieren, können Sie das Quell-Tarball und die vollständigen Release-Notes auf der Projektseite bei GitHub herunterladen und die Version 1.18.1 kompilieren.
• Überwachen Sie Systeme mit mehreren Benutzern und solche, die Fremdsoftware in Flatpaks nutzen, besonders aufmerksam, da einige der Schwachstellen lokale Aktionen von geringprivilegierten Accounts ausnutzbar machten.

Fazit

Flatpak 1.18.1 ist ein klassisches Sicherheits- und Stabilitätsupdate: Neben mehreren Bugfixes schließt es mehrere kritische Lücken, die bei Ausnutzung weitreichende Folgen für die Integrität und Vertraulichkeit eines Systems gehabt hätten. Da viele der Probleme Pfad- und Link-Manipulationen betrafen, ist die Aktualisierung insbesondere auf gemeinsam genutzten oder öffentlich zugänglichen Systemen dringend angeraten. Nutzer sollten auf die Auslieferung des Updates durch ihre Distribution achten und zeitnah aktualisieren.