snap-confine CVE-2026-8933: Sicherheitslücke ermöglicht lokale Rechteausweitung - betrifft Ubuntu

Grundursache der Sicherheitslücke

Das Problem geht auf eine kürzlich von Canonical vorgenommene architektonische Änderung zurück, die das System sicherer machen sollte. Die „snap-confine“-Komponente, die für die Erstellung der Ausführungsumgebung für Snap-Pakete zuständig ist, wurde von einer „set-uid-root“-Binärdatei auf ein „set-capabilities“-Modell umgestellt.

Diese Umstellung sollte zwar das Prinzip der geringsten Berechtigungen durchsetzen, führte jedoch unbeabsichtigt zu zwei Race-Conditions während des Sandbox-Initialisierungsprozesses. Im neuen Modell arbeitet „snap-confine“ mit der effektiven Benutzer-ID des aufrufenden Benutzers, behält aber nahezu Root-Rechte bei. Während der Einrichtung werden temporäre Dateien und Verzeichnisse in /tmp angelegt; diese gehören zunächst dem nicht privilegierten Benutzer, bevor die Eigentumsrechte an root übertragen werden, was ein enges Zeitfenster für eine Ausnutzung schafft.

Technischer Ausnutzungsmechanismus

Der Angriff nutzt zwei gleichzeitig auftretende Race-Conditions aus, um eine Privilegienerweiterung zu erreichen:

• 1.Namespace-Umgehung: Ein Angreifer kann unmittelbar nach der Erstellung des temporären Arbeitsverzeichnisses ein FUSE-Dateisystem darauf mounten. Dadurch wird die Isolierung des Mount-Namespace umgangen, die „snap-confine“ später anwendet, sodass das Verzeichnis außerhalb der Sandbox weiterhin zugänglich bleibt.
• 2.Beliebiges Schreiben in Dateien: Der Angreifer verwendet einen Symlink, der auf eine Zieldatei verweist. Wenn „snap-confine“ versucht, eine Sandbox-Datei zu erstellen, folgt es dem Symlink und schreibt in die Zieldatei. Eine zweite Race-Condition ermöglicht es dem Angreifer, die Dateiberechtigungen auf 0666 zu erweitern, bevor das System die Eigentumsrechte an „root“ überträgt.

Um die AppArmor-Einschränkung zu umgehen, zielt der Exploit auf den Pfad /run/udev/ ab, der Lese- und Schreibzugriff erlaubt. Indem der Angreifer eine bösartige Regeldatei in /run/udev/rules.d/ ablegt und einen FUSE-Mount- oder Unmount-Zyklus auslöst, kann er systemd-udevd dazu zwingen, beliebige Befehle mit Root-Rechten auszuführen.

Betroffene Systeme und Abhilfe

Die Sicherheitslücke ist in Ubuntu-Versionen vorhanden, die standardmäßig die „set-capabilities“-Variante von „snap-confine“ verwenden. Zu den betroffenen Versionen gehören:

• Ubuntu Desktop 24.04 (auf Systemen, die auf aktuelle snapd-Pakete aktualisiert wurden)
• Ubuntu Desktop 25.10
• Ubuntu Desktop 26.04

Andere Linux-Distributionen, wie beispielsweise Debian, könnten ebenfalls gefährdet sein, wenn sie anfällige Versionen des snapd-Pakets verwenden. Um dieses Risiko zu mindern, wird Nutzern und Organisationen empfohlen, das snapd-Paket umgehend auf die neueste Version zu aktualisieren. Das Ubuntu-Sicherheitsteam hat Patches veröffentlicht, um diese Race-Conditions zu beheben und eine unbefugte Rechteausweitung zu verhindern.