Sicherheitslücke
Ubuntu-Sicherheitslücke CVE-2026-8933 ermöglicht lokalen Root-Zugriff über snap-confine
Qualys TRU Analyse: Rechteausweitung in snap-confine betrifft mehrere Ubuntu-Versionen
Eine Sicherheitsmaßnahme sollte die Angriffsfläche verkleinern – doch bei Ubuntu bewirkte sie offenbar das Gegenteil. Eine von Qualys entdeckte Schwachstelle in der zentralen Snap-Komponente snap-confine kann lokalen Benutzern vollständige Root-Rechte verschaffen. Besonders brisant: Betroffen sind auch verbreitete Ubuntu-Desktop-Systeme in ihrer Standardkonfiguration.
Die Qualys Threat Research Unit (TRU) hat eine neue Schwachstelle zur lokalen Rechteausweitung in Ubuntu entdeckt . Die unter CVE-2026-8933 geführte Sicherheitslücke betrifft die Komponente snap-confine und wurde mit dem Schweregrad „High“ bewertet.
Ein bereits lokal angemeldeter, nicht privilegierter Benutzer kann die Schwachstelle ausnutzen, um auf betroffenen Systemen vollständige Root-Rechte zu erlangen. Verwundbar sind nach Angaben von Qualys Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04
Da Ubuntu Desktop bei Unternehmen, öffentlichen Einrichtungen und Entwicklern auch im deutschsprachigen Raum weit verbreitet ist, sollten IT- und Sicherheitsverantwortliche verfügbare Aktualisierungen zeitnah installieren.
Sicherheits-Härtung führt zu neuer Schwachstelle
snap-confine ist eine zentrale Komponente der Snap-Infrastruktur. Sie richtet die isolierte Ausführungsumgebung ein, in der Snap-Anwendungen gestartet werden.
Canonical hatte snap-confine in neueren Ubuntu-Versionen von einer klassischen setuid-root-Datei auf ein Set-Capabilities-Modell umgestellt. Ziel dieser Änderung war es, das Least-Privilege-Prinzip konsequenter umzusetzen und der Komponente nur die tatsächlich benötigten Systemrechte zuzuweisen.
Die Anpassung führte jedoch unbeabsichtigt zu einer Race Condition während der Initialisierung der Sandbox.
snap-confine läuft nun mit der effektiven Benutzer-ID des aufrufenden Benutzers, verfügt während des Einrichtungsprozesses aber weiterhin über weitreichende System-Capabilities. Beim Aufbau der Sandbox erstellt die Komponente temporäre Dateien und Verzeichnisse unter /tmp.
Diese Objekte gehören zunächst dem nicht privilegierten Benutzer und werden erst kurz darauf an root übertragen. In diesem kurzen Zeitfenster kann der Benutzer weiterhin auf die temporären Ressourcen zugreifen und deren Inhalt manipulieren.
Zwei Race Conditions führen zur Root-Kompromittierung
Der von Qualys entwickelte Exploit kombiniert zwei zeitkritische Race Conditions.
Im ersten Schritt bindet der Angreifer unmittelbar nach der Erstellung des temporären Scratch-Verzeichnisses ein FUSE-Dateisystem darüber ein. Dadurch lässt sich die später eingerichtete Mount-Namespace-Isolation umgehen.
Anschließend erstellt der Angreifer einen symbolischen Link auf eine beliebige Zieldatei. Der von snap-confine ausgeführte open()-Aufruf folgt diesem Symlink und schreibt damit in die vom Angreifer ausgewählte Datei.
Eine zweite Race Condition ermöglicht es, die Dateiberechtigungen auf 0666 zu erweitern, bevor snap-confine mit fchown() die Eigentümerschaft an root überträgt. Damit kann der Angreifer Dateien manipulieren, die anschließend dem Root-Benutzer gehören.
AppArmor-Schutz über udev-Regel umgangen
Für eine vollständige Rechteausweitung muss der Exploit zusätzlich die bestehenden AppArmor-Beschränkungen umgehen.
Dazu zielt der Angriff auf das Verzeichnis /run/udev. Dort platziert der Exploit eine manipulierte .rules-Datei. Durch einen gezielt ausgelösten FUSE-Mount- und Unmount-Zyklus wird systemd-udevd dazu gebracht, die präparierte Regel zu verarbeiten.
Auf diese Weise können beliebige Befehle mit Root-Rechten ausgeführt werden. Aus einem lokal angemeldeten Standardbenutzer wird damit ein vollständig privilegierter Systemadministrator.
Diese Ubuntu-Versionen sind betroffen
Nach Angaben von Qualys enthalten folgende Ubuntu-Desktop-Versionen standardmäßig beziehungsweise nach einer Aktualisierung die verwundbare Set-Capabilities-Variante von snap-confine:
- Ubuntu Desktop 26.04
- Ubuntu Desktop 25.10
- Ubuntu Desktop 24.04 mit aktuellen snapd-Paketen
Für eine erfolgreiche Ausnutzung benötigt der Angreifer bereits lokalen Zugriff auf das System. Dennoch ist das Risiko insbesondere bei gemeinsam genutzten Arbeitsplätzen, Entwicklungsumgebungen, Terminalservern und kompromittierten Benutzerkonten erheblich.
Ein Angreifer könnte eine zunächst eingeschränkte Benutzer- oder Malware-Infektion nutzen, um die vollständige Kontrolle über das Betriebssystem zu übernehmen.
Canonical stellt Sicherheitsupdates bereit
Qualys meldete die Schwachstelle im Rahmen einer koordinierten Offenlegung an das Ubuntu Security Team. Canonical hat daraufhin aktualisierte snapd-Pakete bereitgestellt. Organisationen sollten die verfügbaren snapd- und Ubuntu-Sicherheitsupdates unverzüglich installieren. Zusätzlich empfiehlt sich eine Überprüfung, ob betroffene Systeme bereits verdächtige Veränderungen im Verzeichnis /run/udev, ungewöhnliche FUSE-Mounts oder unerwartete Prozesse mit Root-Rechten aufweisen.
Die vollständige technische Analyse mit Quellcode-Referenzen und einem Proof of Concept ist im Qualys Security Advisory dokumentiert.
