Ubuntu-Desktop ist in Unternehmen, öffentlichen Einrichtungen und bei Entwicklern im deutschsprachigen Raum weit verbreitet. Da die betroffenen Versionen in Standardkonfiguration verwundbar sind, sollten IT- und Sicherheitsverantwortliche zeitnah handeln.
Die Qualys Threat Research Unit (TRU) hat eine Local-Privilege-Escalation-Schwachstelle (LPE) in snap-confine identifiziert (CVE-2026-8933). Diese Schwachstelle erlaubt es einem nicht privilegierten lokalen Benutzer, auf Standardinstallationen von Ubuntu-Desktop 24.04, 25.10 und 26.04 vollständigen Root-Zugriff zu erlangen. Ursache ist eine Security-Hardening-Änderung, die unbeabsichtigt eine Race-Condition während der Sandbox-Initialisierung eingeführt hat.
Snap-confine ist die Komponente, die die Ausführungsumgebung für Snap-Anwendungen aufbaut. In neueren Ubuntu-Releases hat Canonical snap-confine von einem Set-uid-root-Binary auf ein Set-Capabilities-Modell umgestellt, um das Least-Privilege-Prinzip durchzusetzen. Dadurch läuft snap-confine nun mit der effektiven UID des aufrufenden Benutzers, behält aber nahezu Root-Capabilities. Während des Sandbox-Setups erstellt das Binary temporäre Verzeichnisse und Dateien unter /tmp, die zunächst dem nicht privilegierten Benutzer gehören; die Eigentümerschaft wird kurz darauf an root übertragen, wobei ein schmales Zeitfenster bleibt, in dem der Aufrufer die volle Kontrolle behält.
Die Schwachstelle ist mit dem Schweregrad „High“ bewertet. Der Exploit nutzt zwei gleichzeitige Race-Conditions. Zunächst hängt ein Angreifer unmittelbar nach der Erstellung ein FUSE-Dateisystem über das temporäre Scratch-Verzeichnis ein und umgeht so die spätere Mount-Namespace-Isolation. Anschließend erstellt der Angreifer einen Symlink auf eine beliebige Zieldatei; der open()-Aufruf folgt dem Symlink und schreibt in das Ziel, während eine zweite Race-Condition es erlaubt, die Dateiberechtigungen auf 0666 auszuweiten, bevor snap-confine per fchown() die Eigentümerschaft an root überträgt. Um die AppArmor-Beschränkung zu umgehen, zielt der Exploit auf den Pfad /run/udev, legt dort eine bösartige .rules-Datei ab und zwingt systemd-udevd über einen FUSE-Mount/Unmount-Zyklus dazu, beliebige Befehle als root auszuführen.
Betroffene Versionen: Ubuntu-Desktop 26.04, Ubuntu-Desktop 25.10 sowie Ubuntu-Desktop 24.04 (Systeme, die auf aktuelle snapd-Pakete aktualisiert wurden) enthalten standardmäßig die verwundbare Set-Capabilities-Variante von snap-confine.
Empfehlung: Organisationen sollten die aktuellen snapd-Updates unverzüglich einspielen. Canonical hat im Rahmen einer koordinierten Offenlegung über das Ubuntu-Security-Team Patches bereitgestellt.
#Qualys
