CVE-2026-3888 - snap-confine + systemd-tmpfiles Lokale Rechteausweitung

Haftungsausschluss: Dieses Repository dient nur zu Bildungszwecken. Alle Inhalte basieren auf der ursprünglichen Sicherheitswarnung, die von Qualys am 17. März 2026 veröffentlicht wurde. Die Schwachstelle wurde gepatcht – stellen Sie stets sicher, dass Ihre Systeme auf dem neuesten Stand sind. Verwenden Sie dieses Material nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben.

Überblick

CVE-2026-3888 ist eine Schwachstelle zur lokalen Rechteausweitung (LPE), die die Standardinstallation von Ubuntu Desktop >= 24.04 betrifft. Sie wurde von Qualys im März 2026 entdeckt und öffentlich bekannt gegeben.

Was diese Schwachstelle besonders interessant macht – wie Qualys selbst anmerkte – ist, dass sie nicht von einer einzelnen fehlerhaften Komponente herrührt. Stattdessen entsteht sie aus dem Zusammenspiel zweier einzeln betrachtet sicherer Programme:

Keines der Programme ist für sich genommen fehlerhaft. Zusammen eröffnen sie jedoch ein ausnutzbares Zeitfenster.

Original-Warnung: https://cdn2.qualys.com/advisory/2026/03/17/snap-confine-systemd-tmpfiles.txt
Quelle: Qualys Security Research Team

Repository-Struktur

cve-2026-3888/
├── README.md                        ← Sie befinden sich hier
├── analysis/
│   ├── 01-vulnerability.md          ← Tiefer Einblick in die Schwachstelle
│   ├── 02-race-condition.md         ← Wie die TOCTOU-Race funktioniert
│   ├── 03-backpressure-technique.md ← Der AF/UNIX-Backpressure-Trick
│   ├── 04-exploitation-steps.md     ← Vollständige Schritt-für-Schritt-Anleitung
│   └── 05-mitigations.md            ← Was gepatcht wurde und wie
└── src/
    ├── firefox_2404.c               ← Race-Helfer (annotiert)
    └── librootshell.c               ← Dynamic-Loader-Shellcode (annotiert)

Betroffene Versionen

Behoben in: snapd 2.74.2

Kurzzusammenfassung des Angriffs

1. Betreten Sie eine Snap-Sandbox (z. B. firefox) – snap-confine erstellt /tmp/.snap als root:root 0755
2. Halten Sie /tmp durch regelmäßige Schreibvorgänge aktiv, lassen Sie aber /tmp/.snap veralten
3. systemd-tmpfiles löscht das veraltete /tmp/.snap – da /tmp weltweit beschreibbar ist, erstellt der Angreifer .snap neu und besitzt es
4. Nutzen Sie die AF/UNIX-Backpressure-Technik, um die Ausführung von snap-confine schrittweise zu verfolgen
5. Tauschen Sie im exakten Moment nach Schritt 1 der Mimik-Sequenz das Bibliotheksverzeichnis atomar aus
6. snap-confine bind-mountet angreifer-eigene Bibliotheken als root in den Namespace
7. Überschreiben Sie ld-linux-x86-64.so.2 mit Shellcode – jede in diesem Namespace ausgeführte SUID-Binärdatei führt unseren Code als root aus
8. Entkommen Sie der AppArmor-Einschränkung über , um eine vollständig privilegierte Shell zu erhalten

Weiterlesen

• 01 – Die Schwachstelle verstehen
• 02 – Die TOCTOU-Race-Bedingung
• 03 – Die AF/UNIX-Backpressure-Technik
• 04 – Vollständige Exploit-Anleitung
• 05 – Gegenmaßnahmen & Patch-Analyse