xdg-dbus-proxy: Umgehung der Nachrichtenfilterung führt zu Sandbox-Ausbruch

Zusammenfassung

Der D-Bus-Filterproxy xdg-dbus-proxy vor Version 0.1.9 filtert Nachrichten auf dem D-Bus-Session-Bus nicht korrekt. Durch das Setzen einer Reply-Seriennummer auf Nicht-Reply-Nachrichten kann eine Sandbox-Anwendung den Filter umgehen und D-Bus-Schnittstellen erreichen, die eigentlich blockiert sein sollten. Eine bösartige oder kompromittierte Flatpak-Anwendung (oder eine Anwendung über ein anderes Framework wie Firejail, das diesen Proxy verwendet) könnte so Code ausserhalb der Sandbox auf dem Host ausführen, wobei der Benutzer die Anwendung starten muss.

Betroffen

• xdg-dbus-proxy-Versionen vor 0.1.9 (Angabe des Herstellers)
• Fedora: xdg-dbus-proxy 0 bis vor 0.1.9
• Red Hat Enterprise Linux 9 und 10 (im CVE-Eintrag als betroffen aufgeführt)
• Andere Distributionen und Frameworks, die xdg-dbus-proxy ausliefern oder verwenden: unbekannt, Sicherheitshinweis des Anbieters prüfen

Behoben in

• xdg-dbus-proxy 0.1.9 (Korrektur des Upstream-Projekts)
• Fedora 44: Update auf 0.1.9 veröffentlicht
• Red Hat Enterprise Linux 9.8 Extended Update Support: Update verfügbar über RHSA-2026:90522
• Andere Distributionen: unbekannt, genaue Paketversion im Sicherheitshinweis des Anbieters prüfen

Umgehung

• Keine nicht vertrauenswürdigen Flatpak-Anwendungen und keine nicht vertrauenswürdigen Anwendungen über andere Frameworks ausführen, die xdg-dbus-proxy verwenden
• Keine weitere Massnahme bekannt; auf 0.1.9 oder das gepatchte Paket des Anbieters aktualisieren

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar
• Kein öffentlicher Proof-of-Concept-Exploit gefunden; die Upstream-Tests wurden in die Regressionstests des Projekts aufgenommen
• EPSS 0.00693 (niedrig) laut einem Tracker
• Ein Aggregator behauptet, Angriffsverkehr beobachtet zu haben; dies ist nicht bestätigt
• Keine bestätigte Ausnutzung in freier Wildbahn

Unsere Empfehlung

• Linux-Systeme identifizieren, auf denen Flatpak-Anwendungen oder Firejail-basierte Sandboxes laufen
• xdg-dbus-proxy auf 0.1.9 oder das gepatchte Paket des Anbieters aktualisieren und den Sicherheitshinweis der eigenen Distribution prüfen
• Bis zur Korrektur keine nicht vertrauenswürdigen Flatpak-Anwendungen ausführen
• Beachten: Der CVSS-Wert beträgt 8.7 (CVSS 4.0, NVD); Red Hat bewertet mit 8.8 nach CVSS 3.1

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-94422 access.redhat.com
• GitHub Security Advisory GHSA-2cgv-pwcq-wvpq github.com
• xdg-dbus-proxy release 0.1.9 github.com
• oss-security discussion (upstream statement) seclists.org
• Red Hat Bugzilla 2542235 bugzilla.redhat.com
• Red Hat Errata RHSA-2026:90522 access.redhat.com
• Fedora 44 advisory for xdg-dbus-proxy linuxsecurity.com
• Ubuntu security status CVE-2026-94422 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:46.