CVE-2026-3888 - snap-confine + systemd-tmpfiles स्थानीय विशेषाधिकार वृद्धि (Local Privilege Escalation)

अस्वीकरण: यह रिपॉजिटरी केवल शैक्षिक उद्देश्यों के लिए है। सभी सामग्री Qualys द्वारा 17 मार्च 2026 को प्रकाशित मूल सुरक्षा सलाहकार (security advisory) पर आधारित है। इस भेद्यता को पैच कर दिया गया है—हमेशा सुनिश्चित करें कि आपके सिस्टम अद्यतित हैं। इस सामग्री का उपयोग उन सिस्टमों के विरुद्ध न करें जिनके स्वामी आप नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है।

अवलोकन (Overview)

CVE-2026-3888 एक स्थानीय विशेषाधिकार वृद्धि (Local Privilege Escalation - LPE) भेद्यता है जो Ubuntu Desktop >= 24.04 की डिफ़ॉल्ट स्थापना को प्रभावित करती है। इसे Qualys द्वारा मार्च 2026 में खोजा गया और सार्वजनिक रूप से प्रकट किया गया।

जो चीज़ इस भेद्यता को विशेष रूप से दिलचस्प बनाती है—जैसा कि Qualys ने स्वयं नोट किया—वह यह है कि यह किसी एक बगी (buggy) घटक से उत्पन्न नहीं होती। इसके बजाय, यह दो व्यक्तिगत रूप से सुरक्षित प्रोग्रामों की अंतःक्रिया (interaction) से उभरती है:

इनमें से कोई भी प्रोग्राम अपने आप में टूटा हुआ नहीं है। साथ में, वे एक शोषण योग्य (exploitable) अवसर पैदा करते हैं।

मूल सलाहकार (Original advisory): https://cdn2.qualys.com/advisory/2026/03/17/snap-confine-systemd-tmpfiles.txt
श्रेय (Credit): Qualys Security Research Team

रिपॉजिटरी संरचना (Repository structure)

cve-2026-3888/
├── README.md                        ← आप यहाँ हैं
├── analysis/
│   ├── 01-vulnerability.md          ← भेद्यता में गहराई से विश्लेषण
│   ├── 02-race-condition.md         ← TOCTOU रेस कैसे काम करती है
│   ├── 03-backpressure-technique.md ← AF/UNIX बैकप्रेशर ट्रिक
│   ├── 04-exploitation-steps.md     ← पूर्ण चरण-दर-चरण वॉकथ्रू
│   └── 05-mitigations.md            ← क्या पैच किया गया और कैसे
└── src/
    ├── firefox_2404.c               ← रेस हेल्पर (एनोटेटेड)
    └── librootshell.c               ← डायनामिक लोडर शेलकोड (एनोटेटेड)

प्रभावित संस्करण (Affected versions)

इसमें ठीक किया गया (Fixed in): snapd 2.74.2

हमले का त्वरित सारांश (Quick summary of the attack)

1. एक स्नैप सैंडबॉक्स (जैसे firefox) में प्रवेश करें - snap-confine /tmp/.snap को root:root 0755 के रूप में बनाता है
2. समय-समय पर लिखने के साथ /tmp को सक्रिय रखें, लेकिन /tmp/.snap को पुराना (stale) होने दें
3. systemd-tmpfiles पुराने /tmp/.snap को हटा देता है - चूँकि /tmp विश्व-लेखन योग्य (world-writable) है, हमलावर .snap को पुनः बनाता है और उसका स्वामी बन जाता है
4. snap-confine के निष्पादन को एकल-चरण (single-step) करने के लिए AF/UNIX बैकप्रेशर तकनीक का उपयोग करें
5. मिमिक अनुक्रम के चरण 1 के ठीक बाद के क्षण में, लाइब्रेरी निर्देशिका को परमाणु रूप से (atomically) स्वैप करें
6. snap-confine हमलावर-स्वामित्व वाली लाइब्रेरीज़ को root के रूप में नेमस्पेस में बाइंड-माउंट करता है
7. ld-linux-x86-64.so.2 को शेलकोड से अधिलेखित (overwrite) करें - इस नेमस्पेस में निष्पादित कोई भी SUID बाइनरी हमारे कोड को root के रूप में चलाती है

और पढ़ें (Read more)

• 01 - भेद्यता को समझना
• 02 - TOCTOU रेस कंडीशन
• 03 - AF/UNIX बैकप्रेशर तकनीक
• 04 - पूर्ण शोषण वॉकथ्रू
• 05 - शमन और पैच विश्लेषण