影响Snapd的缝隙 - 默认安置在Ubuntu中并由其他Linux刊行版（如Debian，OpenSUSE，Arch Linux，Fedora和Solus）使用的软件包可能允许本地打击者获得打点员权限，即root访谒权限和对系统。
关于Snapd
Snapd是一种用于在Linux刊行版上交付，更新和打点应用措施（以快照包的形式）的处事。
“此处事自动安置在Ubuntu中，并在'root'用户的上下文中运行。Snapd正在成长成为Ubuntu操纵系统的重要构成部分，出格是在像云计算和物联网的“Snappy Ubuntu Core”等更精简的旋转中，“发明该缝隙的安适研究员Chris Moberly说道。
Snap生态系统包孕一个快照存储库，开发人员可以在此中孝敬和维护即用型软件包。
不幸的是，已经告成地测验考试在此中一些软件包中引入恶意代码。
Moberly发明了CVE-2019-7304（别名“Dirty Sock”）并于1月底暗里向Ubuntu的制造商Canonical披露。
该缺陷影响Snapd版本2.28至2.37。
这是一个本地权限提升缝隙，这意味着打击者必需首先获得对方针计算机的长途访谒权限，然后才华使用它来提升其权限。
“Snapd供给附加到本地UNIX_AF套接字的REST API。通过盘问与该套接字的任何连接相关联的UID来完成对受限API函数的访谒控制。在for循环中进行字符串解析期间，可能会影响用户控制的套接字对等数据以笼罩UID变量。这允许任何用户访谒任何API函数。通过访谒API，有多种获取root的要领，“Moberly在博客文章中解释道。
他还果然了两个针对它的PoC打击，它允许在具有Internet连接和SSH处事的系统上操作该缝隙，并在没有（通过恶意，侧载快照）的系统上操作该缝隙。
该缝隙在Snapd版本2.37.1及更高版本中得到修复，Ubuntu和其他上述Linux刊行版已经实现了该软件包的固定版本。
固然，要求用户尽快升级他们的设备。