Linux包管理器snap曝本地提权漏洞
时间：2019-02-26 16:11:57来源：信息安全服务部作者：开yun体育官网入口
Snap是Ubuntu母公司Canonical于2016年4月发布Ubuntu16.04时候引入的一种安全的、易于管理的、沙盒化的软件包格式，与传统的dpkg/apt有着很大的区别。
Snap可以让开发者将他们的软件更新包随时发布给用户，而不必等待发行版的更新周期；其次Snap应用可以同时安装多个版本的软件，比如安装Python 2.7和Python 3.3。
漏洞的成因
该漏洞是由于Ubantu默认安装的snapd在运行时会在本地通过UNIX_AF socket启动一个 REST API，在鉴别客户端请求身份时允许所有用户调用API而导致的，通过该API可获取 root 权限。
漏洞的影响
在常见的网络攻击中，攻击者在获取到低权用户权限后，利用此漏洞可获取到最高权限，从而执行系统危险命令。
漏洞的应对措施
1.此漏洞已在官方2.37.1中予以修复，因此建议尽快升级到最新版本。
2.通过apt update && apt-get install snap命令进行升级。