CVE-2026-3888: snapd ローカル権限昇格 PoC

snapd におけるローカル権限昇格の脆弱性（CVE-2026-3888）の概念実証です。この脆弱性により、影響を受ける Ubuntu システムにおいて、非特権のローカル攻撃者が systemd-tmpfiles によって削除された後にプライベートディレクトリ /tmp/.snap を再作成することで、権限を root に昇格させることができます。

📋 脆弱性の概要

ID: CVE-2026-3888
製品: snapd
影響を受けるシステム: Ubuntu 16.04 LTS、18.04 LTS、20.04 LTS、22.04 LTS、24.04 LTS（およびそれ以降）
CWE-ID: CWE-268（Privilege Chaining）
深刻度（CVSS 3.1）: 7.8（高）
ベクター: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

この脆弱性は、2つの特権ユーティリティ間の意図しない相互作用から生じます：

snap-confine: snap アプリケーション用のサンドボックス環境を作成する setuid-root バイナリ。
systemd-tmpfiles: 古い一時ファイルやディレクトリを自動的にクリーンアップするサービス。

攻撃者は systemd-tmpfiles のクリーンアップサイクルを操作することで、この競合状態を悪用できます。ディレクトリ /tmp/.snap が削除されると、攻撃者は悪意のあるペイロードでそれを再作成します。次回のサンドボックス初期化時に、snap-confine がこれらのファイルを root としてマウントし、特権コンテキストでの任意のコード実行を可能にします。

🚨 影響

完全な権限昇格: ローカル攻撃者がシステムへの完全な root アクセスを取得できます。
システムの侵害: システムの機密性、完全性、可用性が損なわれます。
デフォルト設定への影響: この脆弱性は、Ubuntu Desktop 24.04 以降のデフォルトインストールで悪用可能です。

⚙️ 攻撃の再現方法

警告: このエクスプロイトは、教育および許可されたセキュリティ研究を目的としています。自己責任で使用してください。

前提条件

脆弱な Ubuntu システム（影響を受けるバージョンのセクションを参照）。
非特権ユーザー。
gcc コンパイラがインストールされていること（sudo apt install build-essential）。
ディレクトリ /tmp/.snap が systemd-tmpfiles によって削除されている必要があります。これは Ubuntu 24.04 では30日後、それ以降のバージョンでは10日後に発生します。sudo rm -rf /tmp/.snap で手動でクリーンアップをシミュレートできます。

エクスプロイトの手順

このリポジトリをクローンします:

git clone https://github.com/tu-usuario/cve-2026-3888-poc.git
cd cve-2026-3888-poc

依存関係をインストールします:
```
pip install -r requirements.txt
```
PoC を実行します: スクリプトは脆弱性を検証し、悪意のあるライブラリを作成してエクスプロイトをトリガーします。
```
python3 cve_2026_3888_poc.py
```
結果を確認します: エクスプロイトが成功すると、root として実行された id コマンドの結果を含むファイル /tmp/pwn.txt が作成されます。
システムをクリーンアップします: エクスプロイトによって作成されたアーティファクトを削除するには、次を実行します:
```
python3 cve_2026_3888_poc.py --cleanup
```

CVE-2026-3888-POC-all-from-the-Qualys-platform.

人気