Flatpak CVE-2024-32462

Мне кажется, flatpak (как и докер, как и СУБД вроде MySQL - чтоб поняли, что я не только про контейнеры) - это такие штуки, которые создают (не знаю термина лучше, изобрету сам) - надежные "стены". И надежность тут в том, что вся прочность реализуется небольшим и универсальным кодом.

В мире есть огромное количество дырявейших веб-приложений написанных студентами в спешке. Допустим, в приложении есть SQL Injection. Да, через эту дырку смогут испортить-слить базу (или даже несколько, к которым есть доступ у этого юзера). Но при этом "стена" mysql не допустит, чтобы это дырявейшее приложение смогло добраться до другой базы, к которой у этого юзера нет доступа.

Другой пример - есть огромное количество дырявого софта, но никакой баг в программе запущенной от юзера не может дать доступ к данным другого юзера или рута.

Мы можем что угодно дырявое крутить внутри докера или LXC контейнера - и это не вылезет из песочницы.

Да, на самом деле, тут есть протечка абстрации. Статья как раз про это, про протечку во Flatpak. И в su/sudo бывали баги. И в mysql наверняка было. И в самом ядре. Но это очень редкие уязвимости в очень небольшом коде, и они все-таки постепенно вылизываются, исправляются (сравните с обычной разработкой, когда постоянно новый код и всегда дедлайны). Именно такие вот "стены" (из малого объема надежного и проверенного кода) позволяют сделать систему с высокой защищенностью.