Ubuntu: root-Lücke durch snapd

Eine Schwachstelle in den Standard-Installationen von Ubuntu Desktop ermöglicht Angreifern, auf verwundbaren Systemen root-Rechte zu erlangen. Damit können bösartige Akteure anfällige Systeme vollständig kompromittieren. Aktualisierte Pakete stehen bereit.

Die IT-Forscher von Qualys haben die Schwachstelle entdeckt. In einem Blog-Beitrag erklären sie das Problem, das auf nicht beabsichtigten Wechselwirkungen von zwei Werkzeugen mit erhöhten Rechten basiert. „snap-confine“ soll Snap-Apps in einer Art Sandbox isolieren und die Sicherheit etwa durch das Einrichten von privaten Namespaces gewährleisten, mit set-user-ID-root (SUID). Der Dienst „systemd-tmpfiles“ entrümpelt temporäre Dateien und Verzeichnisse, die älter als ein definierter Zeitraum sind.

Ein Angriff ist durch den langen Zeitraum, den Angreifer bis zum potenziellen Erfolg warten müssen, als komplex eingestuft. In Ubuntu 24.04 dauert es bis zu 30 Tage, in jüngeren Versionen 10 Tage, bis der systemd die kritischen „/tmp/.snap“-Verzeichnisse löscht. Sofern das Verzeichnis gelöscht wurde, können bösartige Akteure es mit niedrigen Rechten im System neu erstellen und bösartigen Code dort ablegen. Bei der nächsten Initialisierung der snapd-Sandbox durch „snap-confine“ bindet das Tool diese Dateien als root ein, wodurch beliebiger Code im root-Kontext ausgeführt werden kann (CVE-2026-3888, CVSS 7.8, Risiko „hoch“).

Updates stopfen das Sicherheitsleck

Ubuntu stellt aktualisierte snapd-Pakete bereit, die die Schwachstelle ausbessern. Für Ubuntu 24.04 LTS löst snapd 2.73+ubuntu24.04.1 das Problem, in 25.10 snapd 2.73+ubuntu25.10.1, in der derzeit in Entwicklung befindlichen 26.04 LTS (Dev) hingegen snapd 2.74.1+ubuntu26.04.1; im Upstream von snapd sind Versionen ab 2.75 fehlerbereinigt. Auch, wenn ältere Ubuntu-Versionen von 16.04 bis 22.04 LTS in der Standardeinstellung nicht verwundbar sind, empfiehlt Qualys die Installation der aktualisierten snapd-Pakete.

Für die alten Ubuntu-Versionen können Admins im Rahmen einer Ubuntu-Pro-Lizenz noch Software-Updates bekommen. Im November 2025 gab Canonical bekannt, dass ab Ubuntu 14.04 bis zu 15 Jahre Sicherheitsupdates im Rahmen dieses Programms erhältlich sind. Damit lässt sich das alte Ubuntu bis ins Jahr 2029 sicher betreiben.

(dmk)