CVE-2026-3888 - snap-confine + systemd-tmpfiles Escalação de Privilégios Local

Aviso: Este repositório é apenas para fins educacionais. Todo o conteúdo é baseado no aviso de segurança original publicado pela Qualys em 17 de março de 2026. A vulnerabilidade já foi corrigida — certifique-se sempre de que seus sistemas estejam atualizados. Não use este material contra sistemas que você não possui ou para os quais não tenha permissão explícita por escrito para testar.

Visão geral

A CVE-2026-3888 é uma vulnerabilidade de Escalação de Privilégios Local (LPE) que afeta a instalação padrão do Ubuntu Desktop >= 24.04. Foi descoberta e divulgada publicamente pela Qualys em março de 2026.

O que torna esta vulnerabilidade particularmente interessante — como a própria Qualys observou — é que ela não decorre de um único componente defeituoso. Em vez disso, ela surge da interação de dois programas individualmente seguros:

Nenhum dos programas é defeituoso por si só. Juntos, eles criam uma janela explorável.

Aviso original: https://cdn2.qualys.com/advisory/2026/03/17/snap-confine-systemd-tmpfiles.txt
Crédito: Equipe de Pesquisa de Segurança da Qualys

Estrutura do repositório

cve-2026-3888/
├── README.md                        ← Você está aqui
├── analysis/
│   ├── 01-vulnerability.md          ← Análise aprofundada da vulnerabilidade
│   ├── 02-race-condition.md         ← Como funciona a corrida TOCTOU
│   ├── 03-backpressure-technique.md ← O truque de contrapressão AF/UNIX
│   ├── 04-exploitation-steps.md     ← Guia completo passo a passo
│   └── 05-mitigations.md            ← O que foi corrigido e como
└── src/
    ├── firefox_2404.c               ← Auxiliar de corrida (anotado)
    └── librootshell.c               ← Shellcode do carregador dinâmico (anotado)

Versões afetadas

Corrigido em: snapd 2.74.2

Resumo rápido do ataque

1. Entre em um sandbox snap (ex.: firefox) — o snap-confine cria /tmp/.snap como root:root 0755
2. Mantenha /tmp ativo com gravações periódicas, mas deixe /tmp/.snap ficar obsoleto
3. O systemd-tmpfiles exclui o /tmp/.snap obsoleto — como /tmp é gravável por todos, o atacante recria .snap e passa a ser o dono
4. Use a técnica de contrapressão AF/UNIX para executar passo a passo o snap-confine
5. No momento exato após o passo 1 da sequência de imitação, troque atomicamente o diretório de bibliotecas
6. O snap-confine faz bind-mount de bibliotecas de propriedade do atacante como root no namespace
7. Sobrescreva ld-linux-x86-64.so.2 com shellcode — qualquer binário SUID executado neste namespace executa nosso código como root
8. Escape do confinamento AppArmor via /var/snap/firefox/common/ para obter um shell totalmente privilegiado

Leia mais

• 01 - Entendendo a Vulnerabilidade
• 02 - A Condição de Corrida TOCTOU
• 03 - A Técnica de Contrapressão AF/UNIX
• 04 - Guia Completo de Exploração
• 05 - Mitigações e Análise do Patch