Ubuntu’ning snap-confine komponentidagi yangi zaiflik mahalliy foydalanuvchiga root huquqlarini qo’lga kiritish imkonini bermoqda!

Ubuntu operatsion tizimida aniqlangan yangi xavfsizlik zaifligi mahalliy foydalanuvchiga tizimda eng yuqori darajadagi — root imtiyozlarini qo’lga kiritish imkonini berishi mumkin.

Mazkur zaiflik masofadan turib ekspluatatsiya qilinmaydi. Uni amalga oshirish uchun hujumchi tizimga avvaldan oddiy foydalanuvchi sifatida kirish huquqiga ega bo’lishi kerak. Shunga qaramay, ekspluatatsiya muvaffaqiyatli amalga oshirilgan taqdirda hujumchi tizimni to’liq nazorat qilish imkoniyatiga ega bo’ladi.

Snap-confine nima?

snap-confine — Ubuntu’da keng qo’llaniladigan Snap paketlash tizimining muhim tarkibiy qismi hisoblanadi. U Snap ilovalari ishga tushirilishidan oldin ular uchun izolyatsiyalangan (sandbox) muhit yaratadi hamda ilovaning tizim resurslariga kirishini nazorat qiladi.

Avvalgi versiyalarda snap-confine klassik setuid root mexanizmidan foydalangan bo’lsa, yangi versiyalarda xavfsizlik arxitekturasi o’zgartirilib, u Linux Capabilities texnologiyasiga o’tkazilgan. Jumladan, quyidagi imkoniyatlardan foydalaniladi:

  • CAP_SETUID
  • CAP_SETGID
  • CAP_SYS_ADMIN
  • CAP_SYS_PTRACE

Ushbu yondashuv jarayonni foydalanuvchi identifikatori (UID) ostida ishlashiga imkon bersa-da, unga deyarli root darajasidagi vakolatlarni saqlab qoladi. Aynan mana shu mexanizm zaiflikni ekspluatatsiya qilish imkonini yaratadi.

Zaiflik qanday yuzaga keladi?

Snap ilovasini ishga tushirish jarayonida snap-confine vaqtinchalik katalogni /tmp/snap.rootfs_XXXXXX nomi bilan yaratadi. Ushbu katalog ichiga ilovaning ish muhiti nusxalanadi, kerakli fayllar yaratiladi va so’ngra ularning egasi root foydalanuvchisiga o’zgartiriladi.

Muammo shundaki, katalog va uning ichidagi ayrim fayllar ma’lum bir qisqa vaqt davomida oddiy foydalanuvchiga tegishli bo’lib qoladi. Aynan shu juda qisqa vaqt oralig’i Race Condition deb ataladigan holatni yuzaga keltiradi.

Bundan tashqari, snap-confine ayrim fayllarni yaratishda open() tizim chaqiruvidan O_CREAT | O_TRUNC parametrlaridan foydalanadi, biroq xavfsizlikni ta’minlovchi O_NOFOLLOW parametri qo’llanilmagan. Natijada hujumchi vaqtinchalik katalog ichida oldindan tayyorlangan symbolic link (symlink) orqali fayl yaratish jarayonini boshqa manzilga yo’naltirishi mumkin.

Ekspluatatsiya mexanizmi

Hujumchi avvalo vaqtinchalik katalog yaratilishini kuzatadi va unga o’zi boshqaradigan FUSE fayl tizimini ulaydi. Bu esa snap-confine yaratayotgan sandbox muhiti ustidan nazoratni qo’lga kiritish imkonini beradi.

Keyingi bosqichda hujumchi vaqtinchalik katalog ichida snap-confine yaratishi kutilayotgan fayl nomidan (masalan, default256.png) foydalanib, uni tizimdagi boshqa muhim faylga ishora qiluvchi symbolic link bilan almashtiradi.

Snap-confine o’zining yuqori darajadagi imkoniyatlari bilan ushbu faylni yaratadi va keyinchalik unga root egaligini beradi. Hujumchi esa aynan shu qisqa vaqt oralig’ida faylga yozish ruxsatlarini (0666) o’rnatishga ulguradi. Natijada fayl root foydalanuvchisiga tegishli bo’lsa ham, hujumchi unga yozish imkoniyatini saqlab qoladi.

AppArmor himoyasi cheklovlari

Ubuntu tizimlarida AppArmor xavfsizlik mexanizmi mavjudligi sababli hujumchi istalgan joyga fayl yarata olmaydi. Biroq tadqiqotchilar AppArmor ruxsat beradigan muhim yo’llardan biri — /run/udev/ katalogidan foydalanish mumkinligini aniqlashdi.

Ekspluatatsiya davomida hujumchi /run/udev/rules.d/ katalogiga maxsus tayyorlangan udev qoidasini joylashtiradi. Ushbu qoida systemd-udevd xizmati tomonidan avtomatik qayta ishlanadi va natijada hujumchi tomonidan yozilgan buyruq root huquqlari bilan bajariladi.

Shu tariqa oddiy foydalanuvchi tizimning to’liq administratoriga aylanadi.

Qaysi tizimlar xavf ostida?

Zaiflik faqat Linux Capabilities asosida sozlangan snap-confine versiyalariga ta’sir qiladi.

Xavf ostidagi tizimlar:

  • Ubuntu Desktop 26.04 (standart o’rnatish);
  • Ubuntu Desktop 25.10;
  • To’liq yangilangan Ubuntu Desktop 24.04.

An’anaviy setuid-root mexanizmidan foydalanayotgan snap-confine o’rnatmalari ushbu zaiflikdan ta’sirlanmaydi.

Ehtimoliy oqibatlar

Mazkur zaiflik muvaffaqiyatli ekspluatatsiya qilingan taqdirda quyidagi salbiy oqibatlar yuzaga kelishi mumkin:

  • oddiy foydalanuvchi root huquqlarini qo’lga kiritishi;
  • tizim fayllarini o’zgartirish yoki zararli fayllarni joylashtirish;
  • xavfsizlik mexanizmlarini chetlab o’tish;
  • maxfiy ma’lumotlarni qo’lga kiritish;
  • qo’shimcha zararli dasturlarni o’rnatish;
  • butun operatsion tizim ustidan to’liq nazoratni qo’lga olish.

Agar server yoki ish stansiyasida bir nechta foydalanuvchi ishlayotgan bo’lsa, bunday zaiflik ichki tahdidlar nuqtai nazaridan ayniqsa xavfli hisoblanadi.

Himoyalanish bo’yicha tavsiyalar

Mutaxassislar quyidagi choralarni ko’rishni tavsiya etmoqda:

  • Ubuntu tizimlari uchun Canonical tomonidan chiqarilgan xavfsizlik yangilanishlarini imkon qadar tez o’rnatish;
  • snapd va snap-confine paketlarini doimiy ravishda yangilab borish;
  • Keraksiz Snap paketlarini olib tashlash yoki ulardan foydalanishni cheklash;
  • Ko’p foydalanuvchili serverlarda mahalliy foydalanuvchilarning huquqlarini minimal darajada saqlash;
  • AppArmor siyosatlarini yangilash va qat’iy rejimda ishlatish;
  • /tmp va /run/udev/ kataloglaridagi g’ayrioddiy faoliyatni muntazam monitoring qilish;
  • Endpoint Detection and Response (EDR) hamda audit jurnallari orqali imtiyozlarni oshirishga oid shubhali harakatlarni nazorat qilish.

CVE-2026-8933 zaifligi Linux operatsion tizimlarida keng qo’llaniladigan Snap infratuzilmasining muhim komponenti bo’lgan snap-confine dasturida aniqlangan navbatdagi jiddiy imtiyozlarni oshirish (Local Privilege Escalation) zaifligidir. Muammo masofadan turib ekspluatatsiya qilinmasa-da, tizimga oddiy foydalanuvchi sifatida kirish imkoniyatiga ega hujumchi ushbu zaiflikdan foydalanib qisqa vaqt ichida root darajasidagi nazoratni qo’lga kiritishi mumkin.

Shu sababli Ubuntu foydalanuvchilari va tizim administratorlariga Canonical tomonidan taqdim etilayotgan xavfsizlik yangilanishlarini o’z vaqtida o’rnatish, Snap komponentlarini muntazam yangilab borish hamda tizim jurnal va xavfsizlik hodisalarini doimiy monitoring qilish tavsiya etiladi. Operatsion tizimning dolzarb holatda saqlanishi bunday turdagi imtiyozlarni oshirish zaifliklari orqali amalga oshirilishi mumkin bo’lgan hujumlarning oldini olishda eng muhim himoya choralaridan biri hisoblanadi.