Die Schwachstelle betrifft die Sandbox-Absicherung von Canonical snapd, genauer den Bestandteil, der die Ausführungsumgebung für Snap-Anwendungen aufsetzt (snap-confine). Die standardmäßig erzeugten Seccomp-Vorlagen, die die erlaubten Systemaufrufe einschränken sollen, filtern bestimmte Operationen nicht heraus: Dateiausführungsrechte mit gesetztem Set-User-ID-Attribut können weiterhin angelegt oder verändert werden. Dadurch kann eine Anwendung, die eigentlich streng eingeschränkt in der Sandbox läuft, eigene Programmdateien erzeugen oder ablegen und ihnen das Setuid-Merkmal verpassen. Führt ein kompromittierter oder bösartiger Prozess innerhalb der Sandbox eine solche Datei aus, lassen sich die vorgesehenen Beschränkungen umgehen: Der Prozess kann Schutzrichtlinien abstreifen und innerhalb des Container-Namensraums privilegierte Aktionen ausführen, die eigentlich blockiert sein sollten. Behoben wurde das Problem, indem die Seccomp-Vorlagen so verschärft wurden, dass Erzeugung und Ausführung von Setuid-Programmen durch Snap-Prozesse unterbunden werden.