Nach Darstellung von Qualys entsteht das Problem während des Aufbaus der Sandbox. Das Binärprogramm legt dabei unter /tmp temporäre Verzeichnisse und Dateien an, die zunächst dem nicht privilegierten Nutzer gehören. Erst kurz darauf wird der Besitz auf Root übertragen. Genau in diesem kleinen Zeitfenster behält der aufrufende Nutzer laut Qualys die volle Kontrolle.
Der Sicherheitsanbieter führt die Schwachstelle auf zwei gleichzeitig ausnutzbare Race Conditions zurück. Durch die Manipulation von Dateiberechtigungen, noch bevor das System den Besitz überträgt, könne ein Angreifer bösartige Regeln in Systemverzeichnisse einschleusen und so Code mit Root-Rechten ausführen. Saeed Abbasi, Leiter der Threat Research Unit und Produktdirektor bei Qualys, erklärte, dass snap-confine beim Anlegen einer Sandbox-Datei mit dem Aufruf open() einem symbolischen Link folgt und in dessen Ziel schreibt.
Hinzu kommt laut Abbasi eine zweite Race Condition: Ein Angreifer könne Dateirechte auf 0666 erweitern, bevor snap-confine mit fchown() den Besitz an Root überträgt. Um die AppArmor-Einschränkungen zu umgehen, richte sich der Exploit gegen den Pfad /run/udev/**, der Lese- und Schreibzugriff erlaube. Wird dort eine präparierte Datei mit der Endung .rules unter /run/udev/rules.d/ abgelegt und ein FUSE-Ein- und Aushängezyklus ausgelöst, führe systemd-udevd anschließend beliebige Befehle mit Root-Rechten aus, so Qualys.
Canonical beschreibt snap-confine als den Teilprozess von snapd, der die nötige Abschottung für Snap-Pakete herstellt. Gerade deshalb ist die Komponente sicherheitskritisch: Sie baut die Laufzeitumgebung auf, bevor Anwendungen in der Sandbox ausgeführt werden. Die aktuelle Schwachstelle trifft laut Bericht Standardinstallationen von Ubuntu Desktop und ist damit nicht auf Sonderkonfigurationen beschränkt.
Jason Soroko, Senior Fellow bei Sectigo, erklärte, ein Angreifer benötige zwar weiterhin zunächst Benutzerzugriff oder eine Möglichkeit zur Codeausführung auf Systemebene. CVE-2026-8933 könne diesen Ausgangspunkt jedoch in die vollständige Kontrolle über den Host verwandeln. Soroko hob außerdem hervor, dass besonders Ubuntu 24.04 auffalle, weil auch aktualisierte Systeme die betroffene snap-confine-Variante enthalten könnten. Administratoren sollten daher die installierte snapd-Version prüfen, statt sich auf das Alter einer Distribution oder einen früheren Patch-Stand zu verlassen.
Als Gegenmaßnahme nennt der Bericht die Installation der neuesten snapd-Updates so schnell wie möglich. Die Veröffentlichung fällt in eine Phase, in der in den vergangenen drei Tagen insgesamt 442 Sicherheitslücken in Linux publik gemacht wurden.
Es ist zudem nicht der erste Vorfall dieser Art in snap-confine. Bereits im Februar 2022 hatte Qualys mit Oh Snap! More Lemmings eine weitere lokale Rechteausweitung beschrieben, die als CVE-2021-44731 erfasst wurde und ebenfalls auf einer Race Condition in setup_private_mount() beruhte. Seitdem wurden weitere Schwachstellen bekannt, darunter CVE-2022-3328 mit einem CVSS-Wert von 7,8 sowie CVE-2026-3888, ebenfalls mit 7,8.