Investigadores de ciberseguridad han revelado detalles de una nueva vulnerabilidad de escalada de privilegios locales (LPE) en snap-confine. Un usuario sin privilegios que desencadene esta vulnerabilidad podría obtener acceso raíz y control total sobre el entorno de destino.
Esta falla de alta gravedad se rastrea como CVE-2026-8933 (puntaje CVSS: 7.8) y afecta las instalaciones predeterminadas de Ubuntu Desktop 24.04, 25.10 y 26.04. La divulgación se realiza como 442 Fallos de seguridad de Linux Fue lanzado en los últimos 3 días.
«Este problema se debe a un cambio de refuerzo de la seguridad que inadvertidamente provocó una condición de carrera durante la inicialización de la zona de pruebas», dijo Saeed Abbasi, jefe de la Unidad de Investigación de Amenazas (TRU) y director de producto de Qualys.
Snap-confine es un programa utilizado internamente por snapd para crear un entorno de ejecución para aplicaciones Snap. Snapd es un servicio o demonio en segundo plano que administra paquetes instantáneos en sistemas Linux. Snap no es más que un formato de paquete de software inventado por Canonical. Esto permite que las aplicaciones se ejecuten de forma segura en un entorno aislado en la mayoría de las distribuciones de Linux.
Según Canonical, «Snapd ejecuta un subproceso llamado snap-confine, que es responsable de crear las restricciones necesarias para el ajuste».
Las versiones recientes de Ubuntu aprovechan el modelo de capacidad establecido para imponer el principio de privilegio mínimo (PoLP) como una forma de minimizar la superficie de ataque, y este cambio permite que snap-confine se ejecute con el UID efectivo del usuario que llama mientras se mantiene la funcionalidad cercana a la raíz.
«Durante la configuración de la zona de pruebas, el binario crea directorios y archivos temporales en /tmp que inicialmente pertenecen a un usuario sin privilegios», explicó Qualys. «La propiedad se transfiere inmediatamente a la raíz, pero la ventana durante la cual la persona que llama conserva el control total sigue siendo estrecha».
El problema identificado por el proveedor de ciberseguridad es el resultado de dos condiciones de carrera que ocurren simultáneamente.
Un atacante puede montar un sistema de archivos FUSE malicioso en un directorio temporal inmediatamente después de su creación, evitando el aislamiento del espacio de nombres de montaje impuesto por snap-confine y haciendo que el directorio sea accesible desde fuera del entorno limitado. Un atacante puede crear un enlace simbólico (también conocido como enlace simbólico) que apunte a un archivo de destino arbitrario, redirigiendo efectivamente las operaciones de archivos a una ubicación confidencial del sistema.
Al manipular los permisos de los archivos antes de que el sistema transfiera la propiedad, un atacante podría inyectar reglas maliciosas en los directorios del sistema y ejecutar código raíz, dijo Qualys.
«Cuando snap-confine intenta crear un archivo sandbox, la llamada open() sigue el enlace simbólico y escribe en el destino», dijo Abbasi. «La segunda condición de carrera permite a un atacante aumentar los permisos del archivo a 0666 antes de que snap-confine llame a fchown() para transferir la propiedad a la raíz».
«Para eludir las restricciones de AppArmor, el exploit apunta a la ruta /run/udev/** con acceso de lectura/escritura. Al colocar un archivo .rules malicioso en /run/udev/rules.d/ y activar un ciclo de montaje/desmontaje de FUSE, el atacante permite que systemd-udevd ejecute comandos arbitrarios como root».
Para combatir los riesgos que plantea CVE-2026-8933, las organizaciones deben aplicar las últimas actualizaciones de Snapd lo antes posible.
«Si bien los atacantes aún requieren acceso a nivel de usuario y ejecución de código, CVE-2026-8933 podría cambiar su punto de apoyo para obtener el control total del host», dijo Jason Soroko, investigador principal de Sectigo, en un comunicado. «Esta funcionalidad está presente en la instalación de escritorio predeterminada de Ubuntu, por lo que las estaciones de trabajo de los empleados, los sistemas de desarrollo y los puntos finales de administración son parte del alcance».
«Ubuntu 24.04 es notable porque los sistemas actualizados pueden estar equipados con variantes de snap-confine afectadas. Esto ilustra por qué los administradores deben verificar la versión de snapd instalada, en lugar de confiar en la antigüedad del lanzamiento o el estado de parches anteriores. A medida que haya correcciones disponibles, la rápida implementación y verificación debe ser una prioridad».
Esta no es la primera vez que se descubre una falla de seguridad en el componente de confinamiento instantáneo. En febrero de 2022, Qualys detalló otra falla de escalada de privilegios local llamada «¡Oh, Snap!» Otros Lemmings que pueden explotarse para obtener privilegios de root explotando una condición de carrera en setup_private_mount() de snap-confine (CVE-2021-44731).
Desde entonces, han salido a la luz varias otras vulnerabilidades, incluidas CVE-2022-3328 (puntuación CVSS: 7,8) y CVE-2026-3888 (puntuación CVSS: 7,8).
Source link
