A nyílt forráskódú fejlesztő, Kimiblock egy olyan tetszőleges kódfuttatást lehetővé tevő exploitot fedezett fel Plasma-hez, amellyel meg lehet kerülni a sandboxokat. A problémát a KDE fejlesztőinek security e-mail címére jelentette, de állítása szerint figyelmen kívül hagyták, és a legújabb, 6.7-es Plasma asztali környezetben sem adtak ki rá javítócsomagot. A szokásos 90 napos embargó lejárta után most nyilvánosságra hozták az exploitot a proof-of-concept kóddal együtt.

Ez a weboldal részletesen bemutatja a tetszőleges kódfuttatást, és azt is, hogyan tudnak rosszindulatú, sandboxolt alkalmazások – például Flatpak esetén – tetszőleges binárisokat elindítani a gazdarendszeren a Plasma „Open New Window” műveletén keresztül.

„Miközben véletlenül középső gombbal kattintottam a tálcán (alapértelmezés szerint ez egy adott alkalmazásnál az „Open New Window” műveletet hívja meg), az alkalmazás a vártnak megfelelően új ablakot nyitott, de nem emlékezett az elmentett bejelentkezési adataimra, és a módosított beállításokat sem használta. Közelebbről megvizsgálva, a KWin debug Console-ból szerzett PID-et, valamint a control group- és rootfs-információkat a procfs-ből összerakva kiderült, hogy teljes sandbox-kikerülés történt.

...

Világossá vált, hogy teljes sandbox-escaperől van szó, amikor véletlenül középső gombbal kattintottam a virtuális gépen belül.”

A problémát még nem javították, és mivel a KDE security csapatától nem érkezett visszajelzés, a proof-of-concept kódot és a részleteket a 90 napos határidő lejárta után ma nyilvánosságra hozták. Akit érdekelnek a részletek, megtalálja őket a közzétételi oldalon.