Die Threat Research Unit von Qualys hat unter der Kennung CVE-2026-8933 eine Local-Privilege-Escalation-Lücke in snap-confine gemeldet. Das Programm baut im Hintergrund die Ausführungsumgebung für Snap-Anwendungen auf und läuft dafür mit weitreichenden Systemrechten. Über eine Race Condition lässt sich daraus voller Root-Zugriff gewinnen, und zwar ohne dass ein Angreifer zuvor besondere Rechte besitzen muss.

Wie die Schwachstelle entstanden ist

Ursache ist ausgerechnet eine Sicherheitsmaßnahme von Canonical. Frühere Ubuntu-Versionen ließen snap-confine als set-uid-root-Programm laufen, neuere Releases setzen stattdessen auf sogenannte Linux Capabilities, um dem Prinzip der geringsten Rechte zu folgen.

Dadurch läuft snap-confine nun mit der UID des aufrufenden Nutzers, behält aber nahezu Root-gleiche Fähigkeiten. Beim Aufbau der Sandbox legt das Programm temporäre Verzeichnisse und Dateien unter /tmp an, die zunächst dem normalen Nutzer gehören und erst kurz danach an Root übergeben werden.

Genau in diesem kurzen Zeitfenster setzt der Angriff an. Wer schnell genug reagiert, kann die betroffenen Dateien und Verzeichnisse manipulieren, bevor die Rechteübertragung greift.

So läuft der Angriff im Detail ab

Die Forscher kombinieren dafür zwei Race Conditions. Zuerst hängen sie per FUSE ein eigenes Dateisystem in das frisch angelegte Scratch-Verzeichnis ein, wodurch spätere Mount-Vorgänge von snap-confine ins Leere laufen und das Verzeichnis von außen sichtbar bleibt.

Anschließend platzieren sie darin einen symbolischen Link auf eine beliebige Zieldatei. Da der spätere open()-Aufruf von snap-confine ohne die Schutzoption O_NOFOLLOW erfolgt, schreibt das Programm unwissentlich in genau diese Zieldatei und setzt danach sogar noch harmlose Schreibrechte für den Angreifer.

Um die AppArmor-Beschränkungen von snap-confine zu umgehen, nutzt der Exploit den Pfad /run/udev/**, der ausdrücklich beschreibbar bleibt. Dort platzieren die Angreifer eine präparierte Regeldatei, die beim nächsten FUSE-Mount-Zyklus vom systemd-udevd-Dienst mit vollen Root-Rechten ausgeführt wird.

Betroffene Systeme und empfohlene Maßnahmen

Qualys stuft die Lücke als "High" severity ein und bestätigt funktionierende Exploits unter anderem für Ubuntu Desktop 26.04, 25.10 sowie für aktuell gepatchte Installationen von Ubuntu Desktop 24.04. Damit sind sowohl die neueste Beta-Version als auch die weitverbreitete LTS-Ausgabe betroffen, sobald sie aktuelle snapd-Pakete verwenden.

Canonical wurde bereits im April 2026 informiert und hat die Schwachstelle im Rahmen eines koordinierten Offenlegungsprozesses über die Ubuntu Security Team behoben. Nutzern und Administratoren wird empfohlen, ihre snapd-Pakete umgehend zu aktualisieren, da öffentlich zugängliche Exploit-Details das Risiko realer Angriffe erhöhen.

Qualys hat die technischen Hintergründe inklusive Quellcode-Referenzen und Proof-of-Concept in einem ausführlichen Advisory veröffentlicht. Die koordinierte Offenlegung erfolgte am 21. Juli 2026 um 14:00 UTC, nachdem Canonical seine Patches zuvor an die relevante Sicherheitscommunity verteilt hatte.