Pesquisadores de cibersegurança divulgaram detalhes de uma nova vulnerabilidade de elevação de privilégios local, ou LPE, no snap-confine, que pode ser explorada por um usuário sem privilégios para obter acesso de root e assumir o controle total de um ambiente-alvo.
A falha, considerada grave e identificada como
CVE-2026-8933
, com pontuação CVSS de 7,8, afeta instalações padrão do Ubuntu Desktop 24.04, 25.10 e 26.04.
A revelação ocorre em um cenário de pressão para distribuições Linux, já que 442 falhas de segurança no sistema foram publicadas nos últimos três dias.
“O problema decorre de uma mudança de reforço de segurança que, de forma involuntária, introduziu uma condição de corrida durante a inicialização do sandbox”, disse Saeed Abbasi, chefe da Threat Research Unit (TRU) e diretor de produto da Qualys.
O snap-confine é um programa usado internamente pelo snapd para construir o ambiente de execução de aplicativos snap.
O snapd é o serviço em segundo plano, ou daemon, que gerencia os pacotes snap em sistemas Linux.
Os snaps são um formato de empacotamento de software criado pela Canonical que permite executar aplicativos de forma segura em um sandbox isolado na maioria das distribuições Linux.
“O snapd executa um subprocesso chamado snap-confine, responsável por criar a contenção necessária para o snap”, informou a Canonical.
Embora versões recentes do Ubuntu usem o modelo de set-capabilities para aplicar o princípio do menor privilégio, ou PoLP, e reduzir a superfície de ataque, as mudanças permitem que o snap-confine seja executado com o UID efetivo do usuário que o chamou, mantendo ao mesmo tempo capacidades quase de root.
“Durante a preparação do sandbox, o binário cria diretórios e arquivos temporários em /tmp que, inicialmente, pertencem ao usuário sem privilégios”, explicou a Qualys.
“A propriedade é transferida para root logo em seguida, mas existe uma janela estreita em que o chamador ainda mantém controle total.”
O problema identificado pela empresa de cibersegurança resulta da combinação de duas condições de corrida simultâneas.
O primeiro cenário ocorre quando um atacante monta um sistema de arquivos FUSE malicioso sobre o diretório temporário logo após sua criação, contornando o isolamento do namespace de montagem aplicado pelo snap-confine e mantendo o diretório acessível fora do sandbox.
Em seguida, o atacante cria um link simbólico, ou symlink, apontando para um arquivo de destino arbitrário, redirecionando na prática as operações de arquivo para locais sensíveis do sistema.
Ao manipular permissões de arquivo antes que o sistema transfira a propriedade, o atacante pode injetar regras maliciosas em diretórios do sistema e executar código como root, observou a Qualys.
“Quando o snap-confine tenta criar um arquivo do sandbox, a chamada open() segue o symlink e grava no destino”, disse Abbasi.
“Uma segunda condição de corrida permite que o atacante amplie as permissões do arquivo para 0666 antes que o snap-confine chame fchown() para transferir a propriedade para root.”
“Para contornar o isolamento do AppArmor, o exploit mira o caminho /run/udev/**, que permite acesso de leitura e escrita.
Ao inserir um arquivo .rules malicioso em /run/udev/rules.d/ e acionar um ciclo de montagem e desmontagem do FUSE, o atacante força o systemd-udevd a executar comandos arbitrários como root.”
Para reduzir o risco representado pela
CVE-2026-8933
, as organizações devem aplicar as atualizações mais recentes do snapd o quanto antes.
“Um atacante ainda precisa de acesso em nível de usuário ou execução de código, mas a
CVE-2026-8933
pode transformar esse ponto de apoio em controle total do host”, afirmou Jason Soroko, Senior Fellow da Sectigo, em nota.
“A presença da falha nas instalações padrão do Ubuntu Desktop faz com que estações de trabalho de funcionários, sistemas de desenvolvimento e endpoints administrativos entrem no escopo da resposta.”
“O Ubuntu 24.04 é especialmente relevante porque sistemas atualizados podem carregar a variante afetada do snap-confine, mostrando por que administradores precisam verificar a versão instalada do snapd em vez de confiar na idade da distribuição ou no status anterior de patch.
Com correções disponíveis, a prioridade deve ser a implantação rápida e a confirmação da atualização.”
Esta não é a primeira vez que falhas de segurança são descobertas no componente snap-confine.
Em fevereiro de 2022, a Qualys detalhou outra falha de elevação de privilégios local, batizada de Oh Snap! More Lemmings, identificada como
CVE-2021-44731
, que podia ser explorada para obter privilégios de root ao abusar de uma condição de corrida na função setup_private_mount() do snap-confine.
Desde então, outras vulnerabilidades vieram à tona, incluindo
CVE-2022-3328
, com pontuação CVSS de 7,8, e
CVE-2026-3888
, também com pontuação CVSS de 7,8.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...