xdg-desktop-portal: Vorhersagbare Token-Erzeugung ermöglicht Diebstahl von Zwischenablage- und Drag-and-Drop-Daten
Zusammenfassung
xdg-desktop-portal, der Desktop-Integrationsdienst für Flatpak- und Snap-Anwendungen unter Linux, erzeugt einige Zugriffstoken mit Zufallsfunktionen von GLib, die auf dem Mersenne-Twister-Verfahren basieren. Eine bösartige Sandbox-Anwendung kann über FileTransfer.RetrieveFiles Drag-and-Drop- und Copy-and-Paste-Daten, die für andere Anwendungen bestimmt sind, auf sich umleiten. Laut Advisory lassen sich beobachtete Token nutzen, um spätere Token vorherzusagen. Ein Angriff setzt voraus, dass bereits eine bösartige Sandbox-Anwendung in der Benutzersitzung läuft.
Betroffen
- flatpak xdg-desktop-portal vor 1.22.1 (Angabe des CNA: < 1.22.1; VulDB nennt bis 1.22.0)
Behoben in
- Upstream: 1.22.1 (veröffentlicht am 17. Juni 2026)
- Fedora 44 Stable: 1.22.1-1.fc44
- Debian unstable und testing: 1.22.1+ds-1
- Alpine edge: 1.22.1-r0
- Gentoo: hinkt hinterher, neueste Version im Portage-Baum zum Zeitpunkt der Recherche 1.20.4-r1
- Andere Distributionen: Unbekannt.
Umgehung
- Keine. Der Hersteller nennt keine bekannte Massnahme ausser dem Update.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn, auf öffentlichen Proof of Concept oder auf einen Eintrag im CISA KEV gefunden (nicht vollständig verifiziert).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
- EPSS 0.00345 (niedrig).
Unsere Empfehlung
- xdg-desktop-portal auf 1.22.1 oder den gepatchten Build Ihrer Distribution aktualisieren.
- Nur vertrauenswürdige Flatpak- oder Snap-Anwendungen installieren und nicht benötigte entfernen.
- Linux-Arbeitsstationen mit sensiblen Daten priorisieren.
- Im Security-Tracker Ihrer Distribution die gepatchte Version prüfen, da einige Distributionen die CVE noch als ausstehend führen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- flatpak xdg-desktop-portal 1.22.1 release notes github.com
- GHSA-c5cf-79w8-pvfh advisory github.com
- Ubuntu security notice CVE-2026-55889 ubuntu.com
- VulDB entry 425784 vuldb.com
- Fedora package xdg-desktop-portal packages.fedoraproject.org
- Debian tracker xdg-desktop-portal tracker.debian.org
- Alpine package xdg-desktop-portal pkgs.alpinelinux.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.