Investigadores de seguridad han revelado un fallo en KDE Plasma que permite a aplicaciones enjauladas, como las de Flatpak, ejecutar código malicioso fuera de su entorno protegido. El error aprovecha la acción Abrir Nueva Ventana para saltarse las restricciones. El reporte fue enviado a los desarrolladores hace 90 días, pero aún no se ha lanzado un parche oficial.
El fallo técnico: cómo se rompe la jaula de Flatpak 🔓
La vulnerabilidad reside en el manejo de llamadas al sistema relacionadas con la creación de ventanas en KWin. Al invocar la acción Abrir Nueva Ventana desde una aplicación confinada, el gestor de ventanas puede ejecutar comandos arbitrarios con los permisos del usuario, sin respetar los límites de Flatpak. Esto permite que un programa aparentemente inofensivo modifique archivos del sistema, acceda a datos personales o instale software no autorizado. La ausencia de parche tras tres meses deja a los usuarios expuestos.
90 días de silencio: el parche que no llega 😅
Mientras tanto, los usuarios de Plasma pueden seguir usando sus aplicaciones Flatpak con la confianza de un equilibrista sin red. Los desarrolladores, ocupados probablemente en pulir el brillo de los iconos o en decidir el tono exacto de azul para la próxima versión, no han tenido tiempo para cerrar esta pequeña puerta trasera. Así que ya sabes: si te gusta la emoción de que una calculadora pueda borrar tu disco duro, Plasma es tu escritorio ideal.