Autor: Petr Krčmář, Root.cz

Canonical zveřejnil informace o třech zranitelnostech postihujících snapd. Dvě označuje s vysokým dopadem, třetí je považována za střední – avšak zase její přítomnost v Ubuntu sahá až do roku 2016 a vydání Ubuntu 16.04 LTS.

Zranitelnost CVE-2026–8933 byla objevena společností Qualys a týká se možnosti lokálního získání vyšších oprávnění útočníkem. Postiženy jsou všechny LTS verze Ubuntu až po 22.04, CVSS má hodnotu 7.8. Druhou zranitelnost CVE-2026–15226 objevil Zygmunt Krynicki z Canonicalu a je též lokální. Útočník může dosáhnout úniku ze zabezpečeného Snap prostředí ven a získat tak neomezeného roota. CVSS má hodnotu 8.4.

Poslední zranitelnost CVE-2024–5300, na kterou přišel James Henstridge z Canonicalu, umožňuje aplikacím v sandboxu získávat hashe uživatelských hesel (přes varlink rozhraní systemd-userdbd), sahá k již zmíněné verzi Ubuntu 16.04 LTS. CVSS má hodnotu 5.6

Do všech LTS verzí Ubuntu od 16.04 výše už zamířily aktualizace snapd. Ubuntu samo kontroluje aktualizace čtyřikrát denně, lze ji samozřejmě vyvolat u ručně.