Lỗ hổng Ubuntu CVE-2026-8933 cho phép chiếm quyền root
- Evelyn Carter
- 6 ngày trước
- 6 phút đọc
Qualys công bố CVE-2026-8933 ngày 21/7/2026, một lỗ hổng leo thang đặc quyền cục bộ mức nghiêm trọng cao trong snap-confine. Lỗi có thể giúp người dùng không đặc quyền giành quyền root trên các bản cài đặt Ubuntu Desktop bị ảnh hưởng. Canonical đã phát hành bản vá snapd cho Ubuntu 22.04 LTS, 24.04 LTS và 26.04 LTS.
Một cơ chế bảo mật được thiết kế để giảm đặc quyền lại tạo ra khoảng thời gian ngắn mà người dùng thông thường có thể kiểm soát các tệp tạm trước khi quyền sở hữu được chuyển sang root. Qualys cho biết kẻ tấn công có thể kết hợp hai race condition, hệ thống tệp FUSE và symbolic link để ghi tệp vào vị trí đặc quyền, sau đó kích hoạt mã với quyền cao nhất.
Điều gì đã xảy ra với snap-confine trên Ubuntu?
Qualys Threat Research Unit phát hiện một lỗ hổng Local Privilege Escalation, tức leo thang đặc quyền cục bộ, trong snap-confine. Đây là thành phần thuộc snapd, có nhiệm vụ xây dựng môi trường sandbox để giới hạn quyền truy cập của các ứng dụng Snap trước khi chúng được thực thi.
Trong các phiên bản Ubuntu mới, Canonical chuyển snap-confine từ mô hình setuid-root sang mô hình sử dụng Linux capabilities. Thay đổi này nhằm tuân thủ nguyên tắc đặc quyền tối thiểu: tiến trình chạy dưới danh tính của người dùng hiện tại nhưng chỉ giữ lại một số quyền hệ thống cần thiết để tạo sandbox.
CVE-2026-8933 nằm trong snap-confine, thành phần bảo vệ môi trường chạy ứng dụng Snap. Lỗi phát sinh từ khoảng thời gian người dùng thông thường còn kiểm soát tệp tạm trước khi snap-confine chuyển quyền sở hữu sang root.
CVE-2026-8933 được khai thác như thế nào?
Theo phân tích kỹ thuật của Qualys, chuỗi khai thác diễn ra theo hướng sau:
Kẻ tấn công có quyền thực thi mã cục bộ dưới tài khoản không đặc quyền.
Ngay sau khi snap-confine tạo thư mục tạm, kẻ tấn công gắn một hệ thống tệp FUSE độc hại lên thư mục này.
FUSE giúp duy trì khả năng thao túng thư mục từ bên ngoài mount namespace của sandbox.
Kẻ tấn công tạo symbolic link trỏ tới một tệp hoặc vị trí đặc quyền.
Lời gọi open() của snap-confine đi theo symbolic link và thực hiện thao tác tại đích do kẻ tấn công kiểm soát.
Race condition thứ hai được sử dụng để mở rộng quyền tệp thành 0666 trước khi snap-confine gọi fchown() và chuyển quyền sở hữu sang root.
Chuỗi khai thác nhắm tới /run/udev/rules.d/, nơi kẻ tấn công có thể đặt một tệp quy tắc độc hại và khiến systemd-udevd thực thi lệnh với quyền root.
Những phiên bản Ubuntu nào bị ảnh hưởng?
Các nguồn mô tả phạm vi ảnh hưởng theo hai góc nhìn khác nhau: môi trường được Qualys xác nhận có thể khai thác và các bản Ubuntu còn được Canonical duy trì, nhận gói cập nhật bảo mật.
Phiên bản | Thông tin ảnh hưởng và xử lý |
Ubuntu Desktop 26.04 LTS | Được Qualys xác định thuộc nhóm cài đặt mặc định bị ảnh hưởng; cập nhật snapd lên 2.76+ubuntu26.04.3 |
Ubuntu Desktop 25.10 | Được Qualys xác định có biến thể snap-confine bị ảnh hưởng; doanh nghiệp cần chuyển sang phiên bản Ubuntu còn được hỗ trợ |
Ubuntu Desktop 24.04 LTS | Bị ảnh hưởng trên hệ thống sử dụng gói snapd liên quan; cập nhật lên 2.76+ubuntu24.04.1 |
Ubuntu 22.04 LTS | Canonical liệt kê trong USN-8579-1 và cung cấp bản sửa 2.76+ubuntu22.04.1 |
Ubuntu 20.04 LTS | Có bản sửa thông qua Ubuntu Pro/ESM theo thông báo của Canonical |
Ai có thể chịu rủi ro lớn nhất?
Rủi ro tập trung vào hệ thống Ubuntu nơi kẻ tấn công đã có khả năng đăng nhập hoặc thực thi mã dưới tài khoản hạn chế. Đây có thể là tài khoản người dùng thông thường, phiên shell bị chiếm quyền, ứng dụng phát triển bị cài mã độc hoặc một dịch vụ khác đã bị khai thác trước đó.
Các nhóm tài sản nên được ưu tiên kiểm tra gồm:
Máy trạm của lập trình viên có quyền truy cập kho mã nguồn, khóa SSH hoặc môi trường triển khai.
Máy của quản trị viên thường đăng nhập vào hạ tầng cloud, máy chủ hoặc hệ thống nội bộ.
Thiết bị dùng chung trong phòng nghiên cứu, trung tâm vận hành hoặc môi trường đào tạo.
Endpoint Ubuntu cho phép nhiều người dùng cục bộ.
Máy có snapd nhưng chưa được quản lý tập trung về phiên bản và bản vá.
Hệ thống đã xuất hiện dấu hiệu tài khoản bị xâm nhập hoặc thực thi lệnh bất thường.
CVE-2026-8933 không tự cung cấp quyền truy cập từ xa ban đầu. Do đó, kiểm soát tài khoản, endpoint và phân đoạn mạng vẫn có thể làm giảm khả năng kẻ tấn công tiếp cận điều kiện khai thác.
Để tránh bỏ sót các gói phần mềm lỗi thời trên bề mặt tấn công, doanh nghiệp có thể kết hợp kiểm kê tài sản với quy trình đánh giá khả năng khai thác thông qua Pentest. Pentest phù hợp khi tổ chức cần xác minh liệu một điểm yếu có thể được nối chuỗi với quyền truy cập hiện có để tạo ra tác động thực tế, thay vì chỉ ghi nhận sự tồn tại của CVE.
Doanh nghiệp cần làm gì ngay lúc này?
Ưu tiên đầu tiên là xác định toàn bộ endpoint Ubuntu, kiểm tra phiên bản snapd và triển khai gói cập nhật từ Canonical. Không nên xem việc snapd có cơ chế tự cập nhật là bằng chứng rằng tất cả thiết bị đã ở trạng thái an toàn.
Checklist xử lý trong 24 giờ
Lập danh sách máy đang chạy Ubuntu Desktop 22.04 LTS, 24.04 LTS, 25.10 và 26.04 LTS.
Kiểm tra phiên bản bằng snap version và apt policy snapd.
Đối chiếu phiên bản snapd với USN-8579-1.
Chạy cập nhật hệ thống từ kho chính thức của Ubuntu.
Khởi động lại máy theo hướng dẫn của Canonical.
Kiểm tra thiết bị không nhận được bản vá do lỗi repository, proxy hoặc chính sách đóng băng phiên bản.
Rà soát tài khoản cục bộ, phiên đăng nhập và tiến trình bất thường.
Kiểm tra thay đổi trái phép trong /run/udev/rules.d/.
Thu thập log từ endpoint có dấu hiệu bị xâm nhập trước khi xóa hoặc cài đặt lại.
Hạn chế quyền truy cập từ xa đối với máy chưa hoàn tất cập nhật
Doanh nghiệp có nhiều endpoint và ứng dụng cần kiểm tra định kỳ có thể tham khảo mô hình quét lỗ hổng bảo mật để phát hiện sớm điểm yếu. Với CVE trên hệ điều hành, phạm vi đánh giá cần được mở rộng sang máy trạm và hạ tầng nội bộ, thay vì chỉ giới hạn ở website công khai.
Doanh nghiệp cần kiểm kê Ubuntu Desktop, xác minh phiên bản snapd, cài gói sửa lỗi từ Canonical và khởi động lại thiết bị. Máy từng xuất hiện tài khoản bị xâm nhập cần được rà soát dấu hiệu leo thang đặc quyền thay vì chỉ cập nhật rồi đóng sự cố.
Góc nhìn chuyên gia từ IPSIP Việt Nam cho thấy điều gì?
Cài bản vá là cần thiết nhưng chưa đủ. Doanh nghiệp cần biết mình đang vận hành những phiên bản nào, tài sản nào có quyền truy cập quan trọng và liệu các công cụ giám sát có phát hiện được hành vi leo thang đặc quyền sau khi tài khoản người dùng bị chiếm hay không.
Trong 30–90 ngày, tổ chức nên chuẩn hóa Asset Inventory, quản lý bản vá tập trung, loại bỏ Ubuntu đã hết hỗ trợ và giới hạn số lượng tài khoản có khả năng đăng nhập tương tác. EDR/XDR cần theo dõi tiến trình bất thường liên quan đến mount, FUSE, thay đổi udev rule và hoạt động thực thi dưới quyền root.
Giải pháp nào của IPSIP Việt Nam phù hợp cho doanh nghiệp?
Quét lỗ hổng bảo mật phù hợp với doanh nghiệp chưa có danh sách đầy đủ máy Ubuntu, phiên bản snapd và trạng thái bản vá. Hoạt động rà soát giúp nhận diện tài sản lỗi thời, xếp hạng ưu tiên và theo dõi quá trình khắc phục theo rủi ro.
Pentest phù hợp khi doanh nghiệp cần xác minh khả năng nối chuỗi từ một tài khoản hạn chế sang quyền root hoặc sang các tài sản quan trọng khác. Dịch vụ đánh giá xâm nhập hệ thống Pentest của IPSIP Việt Nam phân biệt giữa việc phát hiện lỗ hổng đã biết và kiểm chứng tác động khai thác thực tế.
SOC 24/7 phù hợp với tổ chức thiếu năng lực giám sát endpoint và phản ứng liên tục. Mục tiêu không chỉ là phát hiện một CVE, mà còn nhận biết dấu hiệu tài khoản bị chiếm, hành vi mount bất thường, thay đổi tệp đặc quyền và hoạt động duy trì sau khai thác.
CVE-2026-8933 cho thấy một endpoint đã bị xâm nhập dưới tài khoản hạn chế vẫn có thể trở thành bàn đạp dẫn tới quyền kiểm soát toàn bộ hệ thống. Với doanh nghiệp Việt Nam sử dụng Ubuntu cho phát triển phần mềm, quản trị hạ tầng hoặc vận hành kỹ thuật, hành động ưu tiên là kiểm kê thiết bị, cập nhật snapd theo USN-8579-1 và xác minh việc khởi động lại.
Nguồn tham khảo
Bình luận