Ubuntu Sicherheitslücke (CVE-2026-8933)

Die Qualys Threat Research Unit (TRU) hat eine Local-Privilege-Escalation-Schwachstelle (LPE) in snap-confine identifiziert (CVE-2026-8933). Diese Schwachstelle erlaubt es einem nicht privilegierten lokalen Benutzer, auf Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04 vollständigen Root-Zugriff zu erlangen. Ursache ist eine Security-Hardening-Änderung, die unbeabsichtigt eine Race Condition während der Sandbox-Initialisierung eingeführt hat.

Ubuntu Desktop ist in Unternehmen, öffentlichen Einrichtungen und bei Entwicklern im deutschsprachigen Raum weit verbreitet. Da die betroffenen Versionen in Standardkonfiguration verwundbar sind, sollten IT- und Sicherheitsverantwortliche zeitnah handeln.

snap-confine ist die Komponente, die die Ausführungsumgebung für Snap-Anwendungen aufbaut. In neueren Ubuntu-Releases hat Canonical snap-confine von einem set-uid-root-Binary auf ein Set-Capabilities-Modell umgestellt, um das Least-Privilege-Prinzip durchzusetzen. Dadurch läuft snap-confine nun mit der effektiven UID des aufrufenden Benutzers, behält aber nahezu Root-Capabilities.

Während des Sandbox-Setups erstellt das Binary temporäre Verzeichnisse und Dateien unter /tmp, die zunächst dem nicht privilegierten Benutzer gehören; die Eigentümerschaft wird kurz darauf an root übertragen, wobei ein schmales Zeitfenster bleibt, in dem der Aufrufer die volle Kontrolle behält.

Die Schwachstelle ist mit dem Schweregrad „High" bewertet. Der Exploit nutzt zwei gleichzeitige Race Conditions. Zunächst hängt ein Angreifer unmittelbar nach der Erstellung ein FUSE-Dateisystem über das temporäre Scratch-Verzeichnis ein und umgeht so die spätere Mount-Namespace-Isolation. Anschließend erstellt der Angreifer einen Symlink auf eine beliebige Zieldatei; der open()-Aufruf folgt dem Symlink und schreibt in das Ziel, während eine zweite Race Condition es erlaubt, die Dateiberechtigungen auf 0666 auszuweiten, bevor snap-confine per fchown() die Eigentümerschaft an root überträgt.

Um die AppArmor-Beschränkung zu umgehen, zielt der Exploit auf den Pfad /run/udev, legt dort eine bösartige .rules-Datei ab und zwingt systemd-udevd über einen FUSE-Mount/Unmount-Zyklus dazu, beliebige Befehle als root auszuführen.

Betroffene Versionen: Ubuntu Desktop 26.04, Ubuntu Desktop 25.10 sowie Ubuntu Desktop 24.04 (Systeme, die auf aktuelle snapd-Pakete aktualisiert wurden) enthalten standardmäßig die verwundbare Set-Capabilities-Variante von snap-confine.

Empfehlung: Organisationen sollten die aktuellen snapd-Updates unverzüglich einspielen. Canonical hat im Rahmen einer koordinierten Offenlegung über das Ubuntu Security Team Patches bereitgestellt. Die vollständige technische Analyse inklusive Quellcode-Referenzen und Proof-of-Concept ist im Qualys Blog bzw. Qualys Security Advisory verfügbar.