Ubuntu-Sicherheitslücke (CVE-2026-8933)Borns Technik- und Windows-Blog

Die Qualys Threat Research Unit (TRU) hat eine Schwachstelle bezüglich der lokalen Privilegieneskalation (LPE) in Snap-Confine (CVE-2026-8933) identifiziert. Diese Sicherheitslücke ermöglicht es einem unprivilegierten lokalen Benutzer, vollständigen Root-Zugriff auf Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04 zu erhalten. Die Ursache ist eine Änderung der Sicherheitsverstärkung, die beim Start der Sandbox zu einer Racebedingung geführt hat.

Ubuntu Desktop ist im deutschsprachigen Raum bei Unternehmen, öffentlichen Einrichtungen und Entwicklern weit verbreitet. Da betroffene Versionen in der Standardkonfiguration angreifbar sind, sollten IT- und Sicherheitsmanager sofort handeln.

snap-confine ist eine Komponente, die die Laufzeitumgebung für Snap-Anwendungen erstellt. In den letzten Versionen von Ubuntu hat Canonical Snap-Confine von einem Set-UID-Root-Binärmodell zu einem Set-Capabilities-Modell geändert, um das Prinzip der geringsten Rechte durchzusetzen. Das bedeutet, dass snap-confine jetzt mit der effektiven UID des aufrufenden Benutzers ausgeführt wird, aber die Root-ähnlichen Funktionen beibehält.

Beim Einrichten der Sandbox erstellt die Binärdatei temporäre Verzeichnisse und Dateien unter /tmp, die zunächst dem unprivilegierten Benutzer gehören; Die Eigentümerschaft wird kurz darauf auf Root übertragen, so dass nur noch ein schmales Zeitfenster verbleibt, in dem der Anrufer die volle Kontrolle hat.

Der Schweregrad der Sicherheitslücke wird als „Hoch“ eingestuft. Der Exploit nutzt zwei Race Conditions gleichzeitig. Zunächst mountet ein Angreifer ein FUSE-Dateisystem unter Verwendung des temporären Scratch-Verzeichnisses unmittelbar nach der Erstellung und umgeht so die Isolierung des anschließend gemounteten Namespace. Der Angreifer erstellt dann einen symbolischen Link zu einer Zieldatei; Der open()-Aufruf folgt dem Symlink und schreibt auf das Ziel, die zweite Race-Bedingung ermöglicht es, die Berechtigungen der Datei auf 0666 zu erhöhen, bevor snap-confine sie über fchown() an root überträgt.

Um das AppArmor-Limit zu umgehen, leitet der Exploit zum Pfad /run/udev um, legt dort eine bösartige .rules-Datei ab und zwingt systemd-udevd, über einen FUSE-Mount/Unmount-Zyklus beliebige Befehle als Root auszuführen.

Betroffene Versionen: Ubuntu Desktop 26.04, Ubuntu Desktop 25.10 und Ubuntu Desktop 24.04 (Systeme, die auf die aktuellen Snapd-Pakete aktualisiert wurden) verfügen standardmäßig über eine anfällige Variante der Clustering-Funktionen von Snap-Confine.

Empfehlung: Organisationen sollten Snapd-Updates sofort installieren. Canonical hat im Rahmen einer koordinierten Veröffentlichung Patches über das Ubuntu-Sicherheitsteam veröffentlicht. Eine vollständige technische Analyse einschließlich Quellcode-Referenzen und Proof of Concept finden Sie im Qualys-Blog oder bei Qualys Security Consulting.