Ubuntu Desktopのsnap-confine に権限昇格の脆弱性CVE-2026-8933|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月24日更新日時: 2026年07月24日

Qualys Threat Research Unit(TRU)は2026年7月21日、Ubuntu Desktopのsnap-confineコンポーネントに存在するローカル権限昇格(LPE)の脆弱性CVE-2026-8933を公開しました。影響を受けるのはUbuntu Desktop 24.04・25.10・26.04のデフォルト構成で、標準ユーザー権限を持つ攻撃者がroot権限を奪取できます。皮肉なことに、この脆弱性は攻撃対象領域を縮小することを目的としたCanonicalのセキュリティ強化措置、snap-confineのset-uid-rootモデルからset-capabilities(権限付与)モデルへの移行に起因して生じたものです。「堅牢化のための変更が意図せず競合状態を生み出した」という構図は、セキュリティ設計の難しさを改めて示しています。Canonicalはすでにパッチを公開しており、速やかな更新が推奨されます。

サマリー

Qualys TRUのSaeed Abbasi氏は2026年7月21日、Ubuntu Desktop 24.04・25.10・26.04のデフォルト構成に影響するローカル権限昇格の脆弱性CVE-2026-8933を公開しました
CVSSスコアは7.8(High)で、攻撃元区分はローカル(AV:L)、必要な権限はローカルユーザー(PR:L)、利用者の操作は不要(UI:N)です
脆弱性の根本原因は、CanonicalがCVE-2021-44731(2022年)などの過去の問題を踏まえてset-uid-rootバイナリからset-capabilities(権限付与)モデルへ移行した、セキュリティ強化のための改修でした
この変更によりsnap-confineは呼び出し元ユーザーの実効UIDで実行されつつroot相当のcapabilityを保持するという状態となり、サンドボックス初期化中の/tmp以下への一時ファイル作成の処理に2つの競合状態が生じました
攻撃者はFUSEファイルシステムのマウントとシンボリックリンクを組み合わせた2段階の競合状態の悪用に加え、AppArmor回避のために/run/udev/rules.d/に悪意あるルールファイルを設置してsystemd-udevdにroot権限でコマンドを実行させることでroot権限を得ます
Qualysは2022年のCVE-2021-44731(Oh Snap! More Lemmings)、2026年3月のCVE-2026-3888に続き、今回のCVE-2026-8933とsnap-confineで繰り返し深刻な権限昇格の脆弱性を発見しています
Canonicalはすでにパッチを公開しており、snapdの最新版への更新を強く推奨します

整理表

項目	内容
CVE番号	CVE-2026-8933
公開日	2026年7月21日
発見者	Saeed Abbasi氏(Qualys TRU Head / Director of Product)
CVSSスコア	7.8(High)
攻撃元区分	ローカル(AV:L)、権限:低(PR:L)、操作不要(UI:N)
脆弱性の種別	ローカル権限昇格(LPE)、競合状態(Race Condition)
影響を受けるコンポーネント	snap-confine(snapdパッケージに含まれるサンドボックス構築バイナリ)
影響を受けるOSバージョン	Ubuntu Desktop 26.04、25.10、24.04(最新snapdパッケージに更新済みのシステムを含む)
根本原因	set-uid-root→set-capabilities移行というセキュリティ強化措置が意図せず競合状態を導入
攻撃の成立条件	ローカルのユーザー権限またはコード実行の足がかりがあること
AppArmor回避	/run/udev/rules.d/への悪意あるudevルール設置とFUSEマウントを組み合わせてsystemd-udevdを悪用
パッチ	Canonicalが公開済み(snapdの最新版に更新することで修正)
実際の悪用	本稿執筆時点で確認されていない

何が起きたか-「堅牢化」が導入した競合状態

CVE-2026-8933の背景にあるのは、Canonicalによるセキュリティ強化の意図せぬ副作用です。Qualysは2022年2月、snap-confineの競合状態を突いた権限昇格の脆弱性CVE-2021-44731(通称Oh Snap! More Lemmings)を公開していました。Canonicalはその後の対策として、snap-confineを従来のset-uid-root(SUID rootビット付きバイナリ)から、最小権限の原則に沿ったset-capabilities(権限付与)モデルへ移行しました。

ところがこの変更が、新たな競合状態を生む土壌となりました。set-capabilitiesモデルでは、snap-confineは呼び出し元ユーザーの実効UIDで動作しながら、root相当のcapabilityを保持します。サンドボックスの初期化処理中、snap-confineは/tmp以下に一時ディレクトリとファイルを作成しますが、この時点ではそれらは呼び出した非特権ユーザーの所有となっています。その後rootへの所有権移転が行われますが、攻撃者が介入できる狭い時間的な窓が残っています。Qualys TRUはこの技術詳細を含む完全なセキュリティアドバイザリを公開しています。

攻撃の仕組み-2段階の競合状態とAppArmor回避

Qualys TRUが示した攻撃経路は、2つの並行する競合状態を組み合わせる高度なものです。

第一の競合状態として、攻撃者はsnap-confineが一時スクラッチディレクトリを作成した直後にそのディレクトリ上にFUSEファイルシステムをマウントします。これにより、snap-confineが後で適用するマウント名前空間の隔離をバイパスし、当該ディレクトリがサンドボックスの外側からも引き続きアクセス可能な状態になります。

第二の競合状態として、攻撃者は任意のターゲットファイルを指すシンボリックリンクを作成します。snap-confineがサンドボックスファイルを作成しようとopen()を呼び出すと、シンボリックリンクが追跡されターゲットファイルへの書き込みが発生します。このタイミングで攻撃者はファイルのパーミッションを0666に拡張します。その後snap-confineがfchown()で所有権をrootへ移転する処理が走るため、攻撃者は事実上root所有の任意のパーミッションを持つファイルを作成できることになります。

さらにAppArmor回避のために、攻撃者はsystemd-udevdが読み書き可能な/run/udev/rules.d/に悪意あるudevルールファイルを設置し、FUSEのマウント/アンマウントサイクルを引き金にsystemd-udevdにroot権限で任意のコマンドを実行させます。この一連の手口を組み合わせることで、最終的にroot権限の取得が完成します。

snap-confineで繰り返す脆弱性-QualysによるUbuntu攻撃研究の系譜

今回のCVE-2026-8933は、Qualys TRUがsnap-confineで発見した3件目の重大な権限昇格の脆弱性です。

1件目は、2022年2月に公開したCVE-2021-44731で、通称「Oh Snap! More Lemmings」と呼ばれるもので、snap-confineのsetup_private_mount()における競合状態を突く手口でした。2件目は2026年3月に公開したCVE-2026-3888で、snap-confineとsystemd-tmpfilesの意図しない相互作用を悪用する、10〜30日間という時間的な待機を要する攻撃でした。今回のCVE-2026-8933は、まさに1件目の対策として実施されたset-capabilities移行という「堅牢化措置」そのものが新たな問題の入り口になったという点で、セキュリティ設計のトレードオフの難しさを際立たせています。

Sectigo社のSenior FellowであるJason Soroko氏は、CVE-2026-8933について、攻撃者がユーザーレベルのアクセスまたはコード実行の足がかりを既に持っていれば、この脆弱性でホスト全体の制御権を奪えるとして、社員のワークステーション・開発者システム・管理エンドポイントを応答の対象範囲に含める必要があると指摘しています。

影響を受けるバージョンと対処方法

影響を受けるのは、Ubuntu Desktop 26.04・25.10・24.04のデフォルト構成です。24.04については、Canonicalがこれまでの定期的なsnapd更新を通じて脆弱なset-capabilities版のsnap-confineを配布してきた経緯があるため、24.04上でsnapd最新版に更新済みのシステムも対象になります。Soroko氏も指摘するとおり、バージョンのリリース時期や以前のパッチ適用状況に頼らず、実際にインストールされているsnapdのバージョンを確認することが重要です。

対処としては、snapdを含む最新パッケージへの更新が必要です。Ubuntuシステムでは以下のコマンドで更新できます。

sudo apt update && sudo apt upgrade snapd

Qualysは詳細な技術的分析とPoCを含む完全なセキュリティアドバイザリを公開しています。インスタンスの棚卸しにはsoftware:(name:"snapd")等のクエリが利用可能です。

情報システム部門への示唆

今回のCVE-2026-8933で特に留意すべきは、攻撃の前提条件であるローカルユーザー権限という点です。ネットワーク越しに認証なしで悪用できるRCE脆弱性と比べると悪用のハードルが高いようにも見えますが、情報システム部門の観点では「ローカルアクセス=低リスク」と捉えるのは危険です。フィッシングやマルウェア感染によって攻撃者が標準ユーザーとしての足がかりを得た場合、このような権限昇格の脆弱性が即座にhost全体の制御奪取につながります。当サイトで継続的に報じてきたLinuxカーネルの権限昇格の脆弱性GhostLock(CVE-2026-43499)、Fragnesia(CVE-2026-46300)、Dirty Frag(CVE-2026-43284)などと同様に、LPEの脆弱性は攻撃チェーンの中で決定的な役割を果たします。

Ubuntu Desktopを開発者マシン、CI/CDランナー、管理端末として利用している組織では、今回の対応を優先的に実施してください。snapdのバージョン確認と更新は数分で完了しますが、組織全体の端末への適用状況をパッチ管理ツールで一元確認する体制が整っているかを今一度点検することもお勧めします。