Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Snapd opravuje 3 zranitelnosti

Snapd verzí 2.76.1 opravuje 2 vysoce závažné a 1 středně závažnou zranitelnost [1]. Debian eviduje svá vydání (bullseye, bookworm, trixie i sid) jako zranitelná, avšak bezpečnostní opravy zatím neposkytl [2][3][4]. Red Hat opravy zatím nevydal. Vydání Ubuntu a jejich opravené verze [1]: resolute - 2.76+ubuntu26.04.3 noble - 2.76+ubuntu24.04.1 jammy - 2.76+ubuntu22.04.1 focal - 2.67.1+20.04ubuntu1~esm3 bionic - 2.61.4ubuntu0.18.04.1+esm4 xenial - 2.61.4ubuntu0.16.04.1+esm4

Snapd - confinement bypass (CVE-2026-15226)
CVSS 8.4 (High)

Autentizovanému lokálnímu útočníkovi je umožněno obejít izolaci sandboxu a provádět neoprávněné operace uvnitř vyhrazeného prostředí snap aplikace [5][6].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 21. 7. 2026.

Snapd - LPE (CVE-2026-8933)
CVSS 7.8 (High)

Autentizovanému lokálnímu útočníkovi je zneužitím časového okna při vytváření dočasných adresářů v komponentě snap-confine umožněno obejít bezpečnostní omezení a eskalovat svá oprávnění na úroveň root [7]. Podrobnosti můžete najít na [8].

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 21. 7. 2026.

Snapd - information disclosure (CVE-2024-5300)
CVSS 5.6 (Medium)

Autentizovanému lokálnímu útočníkovi je prostřednictvím snap aplikace s úrovní izolace "strict" umožněna neoprávněná interakce se službou systemd-userdbd (je-li nainstalována), přičemž dochází k úniku kompletních záznamů o uživatelích (včetně zahašovaných hesel) [9][10].

CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

Více informací:

  • CVE-2024-5300 na cve.org, NVD
  • CWE-212: Improper Removal of Sensitive Information Before Storage or Transfer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 21. 7. 2026.

Za CESNET, z.s.p.o. Ondrej Pavlovič dne 22. 7. 2026.

CESNET, z.s.p.o. Logo