Flatpak 1.18.1 chiude dieci falle, QEMU 11.1 aggiunge UFS e RISC-V big-endian

🐧 Novità principali

• Flatpak 1.18.1 corregge dieci vulnerabilità, comprese una sandbox escape con accesso al filesystem host e una possibile escalation locale a root.
• QEMU 11.1 introduce emulazione UFS 4.1 con Write Booster e Host-Initiated Defragmentation, ampliando le possibilità di test dello storage moderno.
• RISC-V riceve supporto big-endian e nuove estensioni, mentre ARM aggiunge GICv5 sperimentale, nested virtualization e numerose nuove feature CPU.

Flatpak 1.18.1 e QEMU 11.1 aggiornano due componenti centrali dell’ecosistema Linux intervenendo rispettivamente su sicurezza delle applicazioni sandboxate e virtualizzazione hardware. Flatpak corregge dieci vulnerabilità, alcune capaci di compromettere l’isolamento dal sistema host o consentire operazioni con privilegi root, insieme a regressioni nei portal e nella gestione OCI. QEMU introduce invece l’emulazione Universal Flash Storage 4.1, estende RISC-V con il supporto big-endian e migliora ARM, PowerPC, s390x e live migration. Entrambe le release sono disponibili dall’11 agosto 2026 e meritano particolare attenzione in workstation, infrastrutture di virtualizzazione e distribuzioni Linux aggiornate.

Flatpak 1.18.1 corregge sandbox escape ed escalation locale a root

La parte più delicata di Flatpak 1.18.1 riguarda una serie di vulnerabilità che coinvolgono direttamente i confini della sandbox. Le note ufficiali della release Flatpak 1.18.1 elencano dieci problemi di sicurezza, tra i quali una possibile sandbox escape attraverso un attacco con symlink alle directory dati delle applicazioni che può fornire accesso completo in lettura e scrittura al filesystem dell’host. Un secondo problema riguarda revokefs, dove path traversal attraverso collegamenti simbolici e manipolazione dei commit possono portare a un’escalation locale dei privilegi a root. Vengono inoltre corretti casi di scrittura arbitraria come root durante l’estrazione di extra-data e durante flatpak build-init, oltre a una lettura arbitraria dei file dell’host sfruttando hardlink durante l’estrazione degli archivi OCI. La portata della release è quindi sensibilmente diversa rispetto a Flatpak 1.18 e alle novità su sandboxing, OCI e accesso alle GPU AMD, perché questa volta l’obiettivo principale non è aggiungere capacità ma chiudere percorsi attraverso i quali un’applicazione o un utente locale potrebbero superare i limiti di sicurezza previsti dal framework.

Gli advisory coinvolgono path traversal, OCI e downgrade delle applicazioni

L’elenco pubblicato sulla mailing list oss-security con i dettagli delle vulnerabilità Flatpak chiarisce che, al momento dell’annuncio, il progetto aveva richiesto gli identificativi CVE ma questi non erano ancora stati assegnati, rendendo necessario identificare temporaneamente i problemi attraverso i rispettivi codici GHSA. Tra le altre correzioni figurano un path traversal nel parametro architettura di DeployAppstream, un buffer overflow nei nomi dei percorsi degli OCI delta stream sui sistemi 32 bit, scritture verso destinazioni arbitrarie tramite symlink su .ld.so, manipolazione dei metadati delle estensioni capace di provocare probing del filesystem host e mount in posizioni indesiderate e un bypass della protezione anti-downgrade che consentiva a utenti non privilegiati di riportare applicazioni di sistema a versioni precedenti. Il team considera vulnerabili tutte le versioni Flatpak precedenti per quasi tutti i problemi elencati e raccomanda l’aggiornamento alla 1.18.1; il ramo 1.16.x non è più formalmente supportato upstream, anche se il repository contiene backport delle correzioni per le distribuzioni LTS che devono mantenere versioni precedenti.

Portal e registri OCI ricevono anche numerose correzioni funzionali

La release sistema contemporaneamente diverse regressioni introdotte nella serie 1.18. Viene corretto il comportamento dell’ambiente del portal flatpak-spawn, insieme ai crash del portal update monitor e della gestione JSON OCI. Flatpak ora genera inoltre un errore esplicito quando viene tentato il file forwarding di percorsi vuoti e corregge le stringhe di permesso negate utilizzate nelle opzioni allow e share durante l’esecuzione. Sul fronte della distribuzione delle applicazioni, la verifica delle firme OCI viene effettuata utilizzando il repository mirror nel system helper anziché recuperando informazioni dal lookaside server; vengono inoltre applicati correttamente i certificati TLS alle richieste verso i registry OCI e propagati a curl gli errori durante la scrittura degli stream. Sono interventi che interessano direttamente l’affidabilità della distribuzione delle app attraverso repository moderni e completano il percorso verso una maggiore integrazione tra Flatpak e infrastrutture come Flathub, già evidente quando Shelly ha integrato Flathub nella propria gestione software su Arch Linux. Per amministratori e distribuzioni, la combinazione di hardening e bug fix rende Flatpak 1.18.1 un aggiornamento prioritario rispetto alla precedente 1.18.0.

QEMU 11.1 aggiunge l’emulazione dello storage UFS 4.1

Sul versante della virtualizzazione, QEMU 11.1 introduce una novità particolarmente interessante per chi sviluppa e testa piattaforme mobili ed embedded: l’emulazione di Universal Flash Storage viene ampliata con Write Booster e Host-Initiated Defragmentation, entrambe basate sulla specifica UFS 4.1. Il changelog ufficiale di QEMU 11.1 documenta l’estensione del modello storage insieme alle altre modifiche architetturali della release. Write Booster simula il meccanismo attraverso il quale un dispositivo UFS può utilizzare una porzione di memoria più veloce come cache per migliorare le prestazioni di scrittura, mentre HID permette all’host di richiedere operazioni di deframmentazione gestite dal dispositivo. Per sviluppatori di firmware, sistemi operativi, driver e hypervisor significa poter riprodurre all’interno di una macchina emulata comportamenti propri degli storage utilizzati negli smartphone e in altri sistemi integrati senza dipendere necessariamente dall’hardware fisico. L’aggiornamento arriva dopo QEMU 11.0 e il precedente salto nella virtualizzazione open source, estendendo ulteriormente il numero di dispositivi e architetture riproducibili dal software.

RISC-V diventa big-endian e ARM sperimenta GICv5

RISC-V riceve uno degli aggiornamenti architetturali più ampi. QEMU 11.1 aggiunge un target big-endian, amplia il supporto alle estensioni ISA con Zvfbfa e una versione preliminare di Zbr e introduce nel backend KVM il supporto a Zicbop e alle estensioni BFloat16. La macchina K230 entra tra le piattaforme supportate, OpenSBI viene aggiornato alla versione 1.8.1 e vengono corretti diversi problemi in IOMMU, gestione degli interrupt, page-table walking e istruzioni vettoriali. Su ARM, invece, compare l’emulazione sperimentale del controller di interrupt GICv5, mentre gli host Apple che utilizzano HVF, Hypervisor.framework, possono sfruttare la nested virtualization sulla macchina virt. QEMU può inoltre avviare un guest ARM a 32 bit attraverso una CPU TCG a 64 bit utilizzando la proprietà aarch64=off. Le nuove feature CPU coinvolgono anche FP8, Scalable Matrix Extension, Memory Tagging Extension e Realm Management Extension, ampliando l’utilità dell’emulatore come piattaforma di sviluppo anticipato per architetture che non sono ancora ampiamente disponibili come hardware fisico.

PowerPC, s390x e live migration completano QEMU 11.1

Le modifiche proseguono su PowerPC, dove Power11 diventa la CPU predefinita per le macchine pseries e PowerNV11 quella predefinita per PowerNV. Arrivano inoltre MPIPL, utile per preservare la memoria dopo determinati reset inattesi, un modello di nested MMU e un firmware SLOF aggiornato. Su s390x viene aggiunto il supporto KVM ad ASTFLE facility 2, mentre virtio-rtc può sfruttare vhost-host-user per spostare la gestione del real-time clock fuori dall’hypervisor. Migliora anche la live migration, con il parametro x-rdma-chunk-size per controllare la dimensione dei blocchi nelle migrazioni RDMA e informazioni più dettagliate in query-migrate sui byte rimanenti e sul downtime previsto, comprese le condizioni associate ai dispositivi VFIO. Vengono inoltre corrette regressioni con multifd e zerocopy, blocchi nello stato POSTCOPY_DEVICE e alcuni crash VFIO. Il portale ufficiale di download QEMU indica QEMU 11.1.0, pubblicato l’11 agosto 2026, come nuova versione stabile della serie 11. Flatpak e QEMU intervengono così su livelli differenti dello stack Linux, ma con una priorità comune: rendere più sicuri e prevedibili ambienti nei quali isolamento ed emulazione costituiscono parte integrante dell’infrastruttura.