CVE-2026-3888 - snap-confine + systemd-tmpfiles Escalatione Locale dei Privilegi

Disclaimer: Questo repository è solo a scopo educativo. Tutti i contenuti si basano sull'avviso di sicurezza originale pubblicato da Qualys il 17 marzo 2026. La vulnerabilità è stata corretta: assicurati sempre che i tuoi sistemi siano aggiornati. Non utilizzare questo materiale contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta per il test.

Panoramica

CVE-2026-3888 è una vulnerabilità di Escalation Locale dei Privilegi (LPE) che colpisce l'installazione predefinita di Ubuntu Desktop >= 24.04. È stata scoperta e divulgata pubblicamente da Qualys nel marzo 2026.

Ciò che rende questa vulnerabilità particolarmente interessante, come hanno osservato gli stessi Qualys, è che non deriva da un singolo componente difettoso. Emerge invece dall'interazione di due programmi individualmente sicuri:

Nessuno dei due programmi è difettoso di per sé. Insieme, creano una finestra sfruttabile.

Avviso originale: https://cdn2.qualys.com/advisory/2026/03/17/snap-confine-systemd-tmpfiles.txt
Crediti: Qualys Security Research Team

Struttura del repository

cve-2026-3888/
├── README.md                        ← Sei qui
├── analysis/
│   ├── 01-vulnerability.md          ← Analisi approfondita della vulnerabilità
│   ├── 02-race-condition.md         ← Come funziona la race TOCTOU
│   ├── 03-backpressure-technique.md ← Il trucco del backpressure AF/UNIX
│   ├── 04-exploitation-steps.md     ← Guida completa passo dopo passo
│   └── 05-mitigations.md            ← Cosa è stato corretto e come
└── src/
    ├── firefox_2404.c               ← Helper per la race (annotato)
    └── librootshell.c               ← Shellcode del loader dinamico (annotato)

Versioni interessate

Corretto in: snapd 2.74.2

Riepilogo rapido dell'attacco

1. Entra in una sandbox snap (es. firefox) - snap-confine crea /tmp/.snap come root:root 0755
2. Mantieni /tmp attivo con scritture periodiche, ma lascia che /tmp/.snap diventi obsoleto
3. systemd-tmpfiles elimina il /tmp/.snap obsoleto - poiché /tmp è scrivibile da tutti, l'attaccante ricrea .snap e ne diventa proprietario
4. Usa la tecnica del backpressure AF/UNIX per eseguire passo-passo l'esecuzione di snap-confine
5. Nel momento esatto dopo il passo 1 della sequenza di mimic, sostituisci atomicamente la directory delle librerie
6. snap-confine esegue il bind-mount di librerie di proprietà dell'attaccante come root nel namespace
7. Sovrascrivi ld-linux-x86-64.so.2 con lo shellcode - qualsiasi binario SUID eseguito in questo namespace esegue il nostro codice come root
8. Esci dalla confinazione AppArmor tramite per ottenere una shell con privilegi completi

Approfondimenti

• 01 - Comprendere la vulnerabilità
• 02 - La race condition TOCTOU
• 03 - La tecnica del backpressure AF/UNIX
• 04 - Guida completa allo sfruttamento
• 05 - Mitigazioni e analisi della patch