Eine von Qualys entdeckte Schwachstelle in der Sandbox-Komponente Snap-Confine erlaubt unprivilegierten Nutzern auf aktuellen Ubuntu-Desktop-Systemen die vollständige Übernahme von Root-Rechten. Ursache ist ausgerechnet eine Änderung, die eigentlich mehr Sicherheit bringen sollte.
Das Threat Research Unit (TRU) von Qualys hat eine als hoch eingestufte Local-Privilege-Escalation-Schwachstelle in Snap-Confine identifiziert, der zentralen Komponente zur Absicherung von Snap-Anwendungen unter Ubuntu. Die als CVE-2026-8933 registrierte Lücke betrifft laut Unternehmensangaben Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04 und erlaubt es einem unprivilegierten lokalen Nutzer, vollständige Root-Rechte zu erlangen.
Ursächlich ist laut Qualys eine Sicherheitshärtung, die unbeabsichtigt eine Race Condition bei der Initialisierung der Sandbox eingeführt hat. Canonical hatte Snap-Confine in jüngeren Ubuntu-Versionen von einem Set-UID-Root-Binary auf ein Set-Capabilities-Modell umgestellt, um dem Prinzip der geringsten Rechte stärker zu entsprechen. Die Komponente läuft dadurch zwar mit der effektiven UID des aufrufenden Nutzers, behält dabei jedoch nahezu root-äquivalente Capabilities. Beim Aufbau der Sandbox legt Snap-Confine temporäre Verzeichnisse und Dateien unter /tmp an, die zunächst dem unprivilegierten Nutzer gehören. Der Besitz wird kurz darauf an root übertragen – in diesem schmalen Zeitfenster behält der Aufrufende jedoch die volle Kontrolle über die betroffenen Objekte.
Zwei parallele Race Conditions als Angriffsvektor
Der von Qualys beschriebene Exploit nutzt laut Unternehmensangaben zwei gleichzeitig ablaufende Race Conditions aus. Zunächst mountet ein Angreifer unmittelbar nach der Erstellung ein FUSE-Dateisystem über das temporäre Scratch-Verzeichnis. Dadurch wird die später von Snap-Confine angewendete Mount-Namespace-Isolierung umgangen, sodass das Verzeichnis auch außerhalb der Sandbox zugänglich bleibt.
In einem zweiten Schritt legt der Angreifer einen symbolischen Link auf eine beliebige Zieldatei an. Wenn Snap-Confine daraufhin versucht, eine Sandbox-Datei zu erzeugen, folgt der open()-Aufruf dem Symlink und schreibt in die Zieldatei. Eine weitere Race Condition erlaubt es dem Angreifer, die Dateiberechtigungen auf 0666 zu erweitern, bevor Snap-Confine per fchown() den Besitz an root überträgt.
Um die AppArmor-Beschränkung zu umgehen, zielt der Exploit laut Qualys gezielt auf den Pfad /run/udev/, der Lese- und Schreibzugriff erlaubt. Durch das Platzieren einer manipulierten .rules-Datei unter /run/udev/rules.d/ und das Auslösen eines FUSE-Mount/Unmount-Zyklus zwingt der Angreifer den systemd-udevd-Dienst dazu, beliebige Befehle mit Root-Rechten auszuführen.
Betroffene Versionen und Gegenmaßnahmen
Laut Qualys liefern folgende Ubuntu-Releases standardmäßig die verwundbare Set-Capabilities-Variante von Snap-Confine aus: Ubuntu Desktop 26.04, Ubuntu Desktop 25.10 sowie Ubuntu Desktop 24.04 mit aktuellen Snapd-Paketen. Unternehmen sollten die neuesten Snapd-Updates umgehend einspielen. Canonical hat nach koordinierter Offenlegung über das Ubuntu Security Team entsprechende Patches veröffentlicht.
Die technische Analyse mit Quellcode-Referenzen und Proof-of-Concept-Details hat Qualys in einem separaten Security Advisory veröffentlicht. Das Unternehmen dankt dem Ubuntu Security Team, insbesondere Eduardo Barretto und Zygmunt Krynicki von Canonical, für die Koordination sowie der Linux-Distros-Community für die Zusammenarbeit bei der Absicherung des Snap-Ökosystems.
Für die Erkennung betroffener Systeme stellt Qualys entsprechende QIDs über die Vulnerability Knowledgebase bereit; über Qualys CyberSecurity Asset Management lassen sich verwundbare Ubuntu-Installationen mit Snapd-Komponenten identifizieren. Qualys Patch Management soll zudem eine automatisierte Verteilung verfügbarer Patches an betroffene Systeme ermöglichen, sobald diese veröffentlicht werden.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de