CVE-2026-15226

Canonical snapd daxilindəki daxili icra mühiti kompilyatorunda (snap-confine) qumcu (sandbox) məhdudiyyətlərindən yan keçmə zəifliyi mövcuddur. Sistem çağırışlarını məhdudlaşdırmaq üçün mühərrik tərəfindən yaradılan standart seccomp təhlükəsizlik şablonları, set-user-ID atributlarına malik fayl icra bayraqlarını yaratmaq və ya manipulyasiya etmək imkanı olan proses əməliyyatlarını filtrləmir və ya rədd etmir. Nəticədə, ciddi şəkildə məhdudlaşdırılmış snap mühitində işləyən bir tətbiq uğurla binar faylları kompilyasiya edə və ya yerləşdirə bilər və onlara setuid xüsusiyyətləri tətbiq edə bilər. Əgər snap qumcusu daxilindəki kompromisə uğramış və ya zərərli proses bu yaradılmış setuid binarlarını icra edərsə, o, potensial olaraq memarlıq qumcu fərziyyələrini yan keçə, nəzərdə tutulmuş məhdudiyyət siyasətlərini ləğv edə və ya konteyner ad sahəsində (namespace) normalda ciddi şəkildə bloklanmalı olan imtiyazlı hərəkətləri icra edə bilər. Zəiflik, qumcuya alınmış snap prosesləri tərəfindən setuid icra edilə bilən faylların yaradılmasını və icrasını bloklamaq üçün seccomp şablon mühərrikinin gücləndirilməsi ilə aradan qaldırılmışdır.