Ubuntu snap-confine: Eine lokale Sicherheitslücke ermöglicht Root-Zugriff auf Desktop-Installationen standardmäßig

Eine Schwachstelle in snap-confine ermöglicht es einem lokalen Benutzer, Root-Rechte auf Standard-Ubuntu-Desktop-Installationen zu erlangen, bei denen Snap standardmäßig aktiviert ist.

Fakten

Eine lokale Privilegieneskalationslücke (LPE - Local Privilege Escalation) wurde in snap-confine identifiziert, dem setuid-root-Binary, das die Ausführung von Snap-Paketen auf Ubuntu isoliert. Sie ist als CVE-2026-8933 mit einem CVSS-Score von 7.8 (High) referenziert. Auf einer Standard-Ubuntu-Desktop-Installation, bei der Snap standardmäßig enthalten ist, kann ein nicht privilegierter lokaler Benutzer diese Lücke ausnutzen, um eine Root-Shell zu erhalten.

Snap-confine ist die Komponente, die für die Isolierung von Snap-Anwendungen verantwortlich ist (Namespace-Mounts, seccomp, AppArmor). Da es setuid root ist, kann jeder logische Fehler in seiner Kette von privilegierten Operationen einen Weg zum Root-Konto eröffnen.

Wer ist betroffen

• Alle aktuellen Ubuntu Desktop-Installationen (Snap ist seit 18.04 auf der Desktop-Seite standardmäßig installiert und aktiv).
• Abgeleitete Distributionen, die snapd enthalten (offizielle Ubuntu-Varianten, einige abgeleitete Distributionen).
• Nicht betroffen: Systeme, auf denen snapd nicht installiert oder deaktiviert ist (minimales Ubuntu Server ohne Snap, Distributionen wie Debian/Fedora standardmäßig).

Die Ausnutzung erfordert lokalen Zugriff (Benutzerkonto auf der Maschine oder Ausführung kompromittierten Anwendungscodes). Es handelt sich nicht um eine Lücke, die ohne vorherigen Vektor aus der Ferne ausnutzbar ist, aber in einem Multi-User-Kontext (geteilter Posten, Workstation im Labor, schlecht abgeschotteter Jump-Host) oder nach einer Kompromittierung eines Basis-Kontos verwandelt sie einen begrenzten Zugriff in eine vollständige Kompromittierung.

Sofortmaßnahmen

Für Administratoren von Flotten: Überwachen Sie die Veröffentlichungen der Ubuntu-Advisories (ubuntu-security-notices) und priorisieren Sie Benutzerarbeitsplätze und geteilte Workstations. Server ohne installiertes snapd sind nicht betroffen.

Analyse

Dies ist nicht die erste LPE in snap-confine - die Komponente wurde bereits mehrmals überprüft und korrigiert (Qualys hatte beispielsweise CVE-2019-7304 „Dirty Sock“ dokumentiert). Die Wiederholung deutet auf eine Realität hin: Ein setuid-root-Binary mit einer komplexen Kette von Operationen (Mounts, Namespaces, Erstellung temporärer Dateien, chdir) bleibt ein bevorzugtes Ziel für offensive Forschung, selbst nach wiederholten Härtungen.

Die technische Lehre bleibt dieselbe: Die setuid-Oberfläche zu reduzieren ist effektiver, als sie unendlich zu korrigieren. Auf einem Posten, auf dem Snap nicht verwendet wird, ist die beste Verteidigung, es einfach zu entfernen.

Zu beachten

• CVE-2026-8933 (CVSS 7.8): LPE in snap-confine → lokaler Root auf Standard-Ubuntu-Desktop.
• Aktualisieren Sie snapd sofort; entfernen Sie snapd von Servern, die es nicht verwenden.
• Erinnerung: Jedes setuid-root-Binary ist ein dauerhaftes Ziel - audieren Sie Ihre eigenen.