CVE-2026-3888: snapd Local Privilege Escalation PoC

Доказательство концепции для уязвимости локального повышения привилегий в snapd (CVE-2026-3888). Эта ошибка позволяет локальному непривилегированному атакующему повысить свои привилегии до root в уязвимых системах Ubuntu путём воссоздания приватного каталога /tmp/.snap после того, как systemd-tmpfiles его удалит.

📋 Обзор уязвимости

ID: CVE-2026-3888
Продукт: snapd
Уязвимые системы: Ubuntu 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS и 24.04 LTS (и более поздние)
CWE-ID: CWE-268 (Privilege Chaining)
Критичность (CVSS 3.1): 7.8 (Высокая)
Вектор: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Уязвимость возникает из-за непреднамеренного взаимодействия между двумя привилегированными утилитами:

snap-confine: Бинарный файл с setuid-root, который создаёт изолированную среду (песочницу) для приложений snap.
systemd-tmpfiles: Служба, которая автоматически очищает старые временные файлы и каталоги.

Атакующий может эксплуатировать это состояние гонки, манипулируя циклом очистки systemd-tmpfiles. Как только каталог /tmp/.snap удалён, атакующий воссоздаёт его с вредоносными полезными нагрузками. Во время следующей инициализации песочницы snap-confine монтирует эти файлы как root, что позволяет выполнить произвольный код в привилегированном контексте.

🚨 Воздействие

Полное повышение привилегий: Локальный атакующий может получить полный доступ root в системе.
Компрометация системы: Конфиденциальность, целостность и доступность системы оказываются под угрозой.
Затрагивает конфигурации по умолчанию: Уязвимость эксплуатируется в установках Ubuntu Desktop 24.04 и более поздних по умолчанию.

⚙️ Как воспроизвести атаку

ВНИМАНИЕ: Этот эксплойт предназначен для образовательных целей и авторизованных исследований в области безопасности. Используйте его на свой страх и риск.

Предварительные требования

Уязвимая система Ubuntu (см. раздел об уязвимых версиях).
Непривилегированный пользователь.
Установленный компилятор gcc (sudo apt install build-essential).
Каталог /tmp/.snap должен быть удалён с помощью systemd-tmpfiles. Это происходит через 30 дней в Ubuntu 24.04 или 10 дней в более поздних версиях. Вы можете смоделировать очистку вручную с помощью sudo rm -rf /tmp/.snap.

Шаги эксплуатации

Клонируйте этот репозиторий:

git clone https://github.com/tu-usuario/cve-2026-3888-poc.git
cd cve-2026-3888-poc

Установите зависимости:
```
pip install -r requirements.txt
```
Запустите PoC: Скрипт проверит уязвимость, создаст вредоносную библиотеку и активирует эксплойт.
```
python3 cve_2026_3888_poc.py
```
Проверьте результат: Если эксплойт успешен, будет создан файл /tmp/pwn.txt с результатом выполнения команды id от имени root.
Очистите систему: Чтобы удалить артефакты, созданные эксплойтом, выполните:
```
python3 cve_2026_3888_poc.py --cleanup
```

CVE-2026-3888-POC-all-from-the-Qualys-platform.

Популярное