Snapアプリケーションを隔離するUbuntuのコンポーネントに新たな脆弱性が見つかりました。この脆弱性は、Ubuntu Desktop 24.04、25.10、26.04のデフォルトインストール環境において、ローカルユーザーであれば誰でも完全なroot権限を取得できてしまうというものです。
Qualys Threat Research Unit(TRU)が7月21日に公開した新たな調査によると、この欠陥はsnap-confineに存在しています。snap-confineは、Snapアプリケーションの実行環境を構築する強制コンポーネントです。
この脆弱性はCVE-2026-8933として追跡されており、深刻度は「高」と評価されています。同チームは4カ月前にも、snap-confineの別のroot権限昇格の脆弱性を公表していました。
証明書ライフサイクル管理(CLM)プロバイダーであるSectigoのシニアフェロー、Jason Soroko氏は、今回の根本原因が個別のバグにとどまらない教訓を含んでいると指摘します。最小権限の原則は、同氏いわく「バイナリ単体の性質ではありません。そのバイナリを取り巻く一連の処理全体に左右されるものです」。
Linuxの権限昇格に関する関連記事: CrackArmorの脆弱性、Linuxシステムを権限昇格の危険にさらす
セキュリティ強化策が生んだ隙間
今回の脆弱性は、あるセキュリティ強化策に端を発しています。Canonicalは2025年7月、最小権限の原則を徹底するため、snap-confineをset-user-ID-rootバイナリからset-capabilitiesモデルへと移行させました。これにより、snap-confineはほぼroot相当の権限(capability)を保持したまま、呼び出し元ユーザーの実効UIDで実行されるようになりました。
Qualysは、サンドボックスのセットアップ過程を観察し、/tmp配下に作成される一時ディレクトリやファイルが、当初は権限のないユーザーの所有物であり、その直後に所有権がrootへ移されることを確認しました。この間、呼び出し元が完全な制御権を保持したままとなる、わずかな隙間が生じていたのです。
同社は、この隙間の中に存在する2つの競合状態(レースコンディション)を突き止めました。攻撃者は、作成直後の一時ディレクトリにFUSEファイルシステムをマウントすることで、後からsnap-confineが適用するマウント名前空間による隔離を回避し、そのディレクトリをサンドボックスの外からアクセス可能な状態に保つことができます。
これと並行して、シンボリックリンクを任意のターゲットファイルに向けておくことで、その後snap-confineが実行するopen()呼び出しがこのシンボリックリンクをたどり、ターゲットファイルへの書き込みが発生します。さらに2つ目の競合状態を利用し、snap-confineが所有権をrootに移す前にファイルパーミッションを0666へと緩めることも可能です。
AppArmorによる隔離を回避するため、このエクスプロイトでは悪意ある.rulesファイルを/run/udev/rules.d/に設置し、FUSEのマウントとアンマウントのサイクルを引き起こします。これにより、systemd-udevdがroot権限で任意のコマンドを実行するよう仕向けられます。
「ローカル」だからといって優先度を下げてはいけない
今回のニュースについて、Keeper SecurityのCISOであるShane Barney氏は、ローカルでの権限昇格の脆弱性は「ローカルアクセスを必要とするという理由で、優先順位のリストの下位に追いやられがちだ」と述べ、こうした習慣は見直す価値があると警告しています。</p
システムスペックを見直す必要があると警告しています。
同氏によれば、攻撃者はフィッシングや認証情報の窃取、あるいは設定不備のあるリモートアクセスを通じて、日常的にエンドポイントへ侵入を果たしています。そして、この種の競合状態は、こうした限定的な足がかりを、ホストの完全な乗っ取りへと変えてしまうものです。
Ubuntu Desktopの展開状況を踏まえると、この点は一層重みを増します。影響を受けるsnapdパッケージは24.04、25.10、26.04のデフォルトインストールに含まれているため、従業員のワークステーションから開発者のシステム、管理用エンドポイントに至るまで、あらゆる環境が対応の対象範囲に入ります。
Ubuntu 24.04のシステムが影響を受けるのは、snapdパッケージを最新版に更新している場合に限られます。したがって管理者は、リリース時期や過去のパッチ適用状況に頼るのではなく、インストール済みのバージョンを直接確認する必要があります。
Canonicalは、協調的な情報開示プロセスを経て、Ubuntu Security Teamを通じてパッチをリリースしました。ソースの参照情報や概念実証(PoC)コードの実行を含む詳細な技術情報は、ブログ記事と合わせて公開されたQualysのセキュリティアドバイザリに掲載されています。
Qualysは管理者に対し、最新のsnapdアップデートを直ちに適用するよう強く呼びかけています。
画像クレジット: IB Photography / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/ubuntu-snap-confine-local-root-cve/
