CVE-2026-3888 - snap-confine + systemd-tmpfiles ローカル権限昇格

免責事項: このリポジトリは教育目的のみを対象としています。すべての内容は、Qualys が 2026 年 3 月 17 日に公開した元のセキュリティアドバイザリに基づいています。この脆弱性は修正済みです。システムを常に最新の状態に保ってください。所有していないシステム、または明示的な書面による許可を得ていないシステムに対して、この資料を使用しないでください。

概要

CVE-2026-3888 は、Ubuntu Desktop >= 24.04 のデフォルトインストールに影響するローカル権限昇格 (LPE) 脆弱性です。2026 年 3 月に Qualys によって発見され、公開されました。

Qualys 自身も指摘しているように、この脆弱性が特に興味深いのは、単一のバグのあるコンポーネントに起因するものではないことです。代わりに、個々には安全な 2 つのプログラムの相互作用から生じます:

どちらのプログラムも単独では壊れていません。しかし、組み合わさることで悪用可能なウィンドウが生まれます。

元のアドバイザリ: https://cdn2.qualys.com/advisory/2026/03/17/snap-confine-systemd-tmpfiles.txt
クレジット: Qualys Security Research Team

リポジトリ構造

cve-2026-3888/
├── README.md                        ← 現在地
├── analysis/
│   ├── 01-vulnerability.md          ← 脆弱性の詳細な解説
│   ├── 02-race-condition.md         ← TOCTOU レースの仕組み
│   ├── 03-backpressure-technique.md ← AF/UNIX バックプレッシャーのトリック
│   ├── 04-exploitation-steps.md     ← 完全なステップバイステップの解説
│   └── 05-mitigations.md            ← 修正された内容とその方法
└── src/
    ├── firefox_2404.c               ← レースヘルパー (注釈付き)
    └── librootshell.c               ← 動的ローダーのシェルコード (注釈付き)

影響を受けるバージョン

修正バージョン: snapd 2.74.2

攻撃の概要

1. snap サンドボックス (例: firefox) に入る - snap-confine が /tmp/.snap を root:root 0755 として作成する
2. 定期的な書き込みで /tmp をアクティブに保つが、/tmp/.snap は古いままにする
3. systemd-tmpfiles が古い /tmp/.snap を削除する - /tmp はワールドライタブルなので、攻撃者は .snap を再作成し、その所有者となる
4. AF/UNIX バックプレッシャー技術を使用して snap-confine の実行をシングルステップ実行する
5. ミミックシーケンスのステップ 1 の直後の正確な瞬間に、ライブラリディレクトリを原子的に交換する
6. snap-confine が攻撃者所有のライブラリを root として名前空間にバインドマウントする
7. ld-linux-x86-64.so.2 をシェルコードで上書きする - この名前空間で実行される SUID バイナリは、root としてコードを実行する
8. /var/snap/firefox/common/ を介して AppArmor の制限を回避し、完全な権限を持つシェルを取得する

詳細情報

• 01 - 脆弱性の理解
• 02 - TOCTOU レースコンディション
• 03 - AF/UNIX バックプレッシャー技術
• 04 - 完全な悪用の解説
• 05 - 緩和策とパッチ分析