La soci\u00e9t\u00e9 Qualys a identifi\u00e9 une vuln\u00e9rabilit\u00e9 (CVE-2026-3888) dans le fonctionnement de l'articulation snap-confine et systemd-tmpfiles sur Ubuntu, permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'obtenir un acc\u00e8s root au syst\u00e8me. Le probl\u00e8me se manifeste sur Ubuntu dans la configuration par d\u00e9faut \u00e0 partir de la version 24.04. Sur Ubuntu 16.04-22.04, la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e dans des configurations non standards imitant le comportement de versions plus r\u00e9centes de la distribution. Sur Ubuntu, un correctif est disponible dans la mise \u00e0 jour d'hier du paquet snapd. La probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la mise \u00e0 jour 2.75 de snapd. <\/p>\n
La vuln\u00e9rabilit\u00e9 provient d'une interaction incorrecte entre les utilitaires snap-confine et systemd-tmpfiles qui s'ex\u00e9cutent avec des privil\u00e8ges \u00e9lev\u00e9s. L'utilitaire snap-confine cr\u00e9e un environnement sandbox pour ex\u00e9cuter une application snap, tandis que systemd-tmpfiles effectue le nettoyage automatique des fichiers et r\u00e9pertoires temporaires. Par d\u00e9faut, l'utilitaire systemd-tmpfiles est configur\u00e9 pour supprimer tous les anciens fichiers et r\u00e9pertoires dans \/tmp, ce qui peut \u00eatre utilis\u00e9 par un attaquant pour substituer le r\u00e9pertoire \/tmp\/.snap au moment juste apr\u00e8s sa suppression par l'utilitaire systemd-tmpfiles, mais avant sa recr\u00e9ation par la commande snap-confine. <\/p>\n
L'attaque consiste \u00e0 attendre le lancement du processus de nettoyage des fichiers temporaires, en rempla\u00e7ant le r\u00e9pertoire \/tmp\/.snap apr\u00e8s sa suppression et en pla\u00e7ant une copie modifi\u00e9e des biblioth\u00e8ques \/tmp\/.snap\/usr\/lib\/x86_64-linux-gnu.exchange. L'attaquant peut avoir besoin de plusieurs jours d'attente avant le lancement de systemd-tmpfiles, car dans Ubuntu 24.04, le processus de nettoyage se lance tous les 10 jours, et dans les versions plus r\u00e9centes \u2014 tous les 30 jours. Apr\u00e8s le remplacement du r\u00e9pertoire, l'attaquant parvient \u00e0 initialiser un nouvel environnement sandbox via snap-confine. <\/p>\n
Lors de la cr\u00e9ation de l'environnement sandbox dans le r\u00e9pertoire temporaire \/tmp\/.snap, l'attaquant attend le moment opportun et renomme \/tmp\/.snap\/usr\/lib\/x86_64-linux-gnu.exchange en \/tmp\/.snap\/usr\/lib\/x86_64-linux-gnu, rempla\u00e7ant ainsi les biblioth\u00e8ques et assurant leur montage bind avec des droits root. De cette fa\u00e7on, l'attaquant prend le contr\u00f4le des biblioth\u00e8ques partag\u00e9es et du chargeur ld.so, ex\u00e9cut\u00e9s dans l'environnement sandbox snap, et peut obtenir l'ex\u00e9cution de code arbitraire avec des privil\u00e8ges root en lan\u00e7ant n'importe quel programme suid utilisant le lien dynamique. <\/p>\n
Ayant un acc\u00e8s root dans un environnement sandbox, isol\u00e9 par AppArmor et un filtre d'appels syst\u00e8me bas\u00e9 sur seccomp, l'attaquant peut copier \/bin\/bash dans le r\u00e9pertoire \/var\/snap\/$SNAP\/common et lui attribuer les droits \u00ab 04755 \u00bb (suid root). Bien que les droits soient modifi\u00e9s \u00e0 l'int\u00e9rieur de l'environnement sandbox, le fichier avec les droits modifi\u00e9s est \u00e9galement accessible dans le syst\u00e8me principal, donc pour obtenir un acc\u00e8s root complet, il suffit de lancer \/var\/snap\/\/common\/bash en tant qu'utilisateur non privil\u00e9gi\u00e9 depuis l'environnement syst\u00e8me standard. <\/p>\n
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans l'outil uutils coreutils (Rust Coreutils), \u00e9quivalent du paquet GNU Coreutils, \u00e9crit en Rust. Cette vuln\u00e9rabilit\u00e9 permet \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'obtenir des droits root sur le syst\u00e8me. Le probl\u00e8me a \u00e9t\u00e9 identifi\u00e9 lors de la r\u00e9vision des modifications dans Ubuntu 25.10 et a \u00e9t\u00e9 contourn\u00e9 avant la sortie de l'Ubuntu 25.10 par la fourniture de \/usr\/bin\/gnurm au lieu de uutils rm. Dans le paquet uutils, le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans la version uutils coreutils 0.3.0, sans mention dans la liste des changements sur la correction de la vuln\u00e9rabilit\u00e9 (il a \u00e9t\u00e9 indiqu\u00e9 qu'une m\u00e9thode de contournement s\u00e9curis\u00e9e a \u00e9t\u00e9 mise en \u0153uvre dans rm, du, chmod et chgrp). <\/p>\n
Le probl\u00e8me est caus\u00e9 par un \u00e9tat de concurrence dans l'outil \u00ab rm \u00bb, permettant \u00e0 un utilisateur local de remplacer le contenu d'un r\u00e9pertoire par un lien symbolique pendant la suppression d'un fichier contr\u00f4l\u00e9 par l'utilisateur par le processus \u00ab rm \u00bb avec des droits root. Parmi d'autres, la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e lors de l'ex\u00e9cution quotidienne d'un script cron \/etc\/cron.daily\/apport, qui s'ex\u00e9cute avec des droits root et supprime r\u00e9cursivement le contenu du r\u00e9pertoire \/var\/crash, accessible en \u00e9criture \u00e0 tous les utilisateurs du syst\u00e8me. <\/p>\n
Lors de la suppression r\u00e9cursive de r\u00e9pertoires, l'utilitaire rm v\u00e9rifie d'abord tous les r\u00e9pertoires, puis les supprime successivement dans l'ordre inverse, en appelant la fonction rmdir(). Si on r\u00e9ussit \u00e0 remplacer le r\u00e9pertoire parent par un lien symbolique juste apr\u00e8s la v\u00e9rification de ce r\u00e9pertoire, mais avant la v\u00e9rification de ses r\u00e9pertoires enfants, l'op\u00e9ration entra\u00eenera la suppression du r\u00e9pertoire point\u00e9 par le lien symbolique. Cela permet non seulement de supprimer n'importe quel fichier dans le syst\u00e8me, mais aussi d'augmenter les privil\u00e8ges en supprimant le r\u00e9pertoire \/tmp\/snap-private-tmp\/$SNAP\/tmp\/.snap pour remplacer le contenu de l'environnement sandbox du paquet snap (la m\u00e9thode d'obtention de root est similaire \u00e0 la premi\u00e8re vuln\u00e9rabilit\u00e9). \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2026-3888) \u0432 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0441\u0432\u044f\u0437\u043a\u0438 snap-confine \u0438 systemd-tmpfiles \u0432 Ubuntu, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0443\u044e \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c root-\u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 Ubuntu \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u044b\u043f\u0443\u0441\u043a\u0430 24.04. \u0412 Ubuntu 16.04-22.04 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0432 \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f\u0445, \u0438\u043c\u0438\u0442\u0438\u0440\u0443\u044e\u0449\u0438\u0445 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0431\u043e\u043b\u0435\u0435 \u043d\u043e\u0432\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430. \u0412 Ubuntu \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e \u0432\u043e \u0432\u0447\u0435\u0440\u0430\u0448\u043d\u0435\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-165172","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Vuln\u00e9rabilit\u00e9s dans snapd et Rust Coreutils, permettant d'obtenir des privil\u00e8ges root sur Ubuntu | ProHoster","description":"La soci\u00e9t\u00e9 Qualys a d\u00e9couvert une vuln\u00e9rabilit\u00e9 (CVE-2026-3888) dans le fonctionnement de l'association snap-confine et systemd-tmpfiles sur Ubuntu, permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'obtenir un acc\u00e8s root au syst\u00e8me.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-snapd-i-rust-soreutils-pozvolyayushhie-poluchit-root-privilegii-v-ubuntu","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 snapd \u0438 Rust \u0421oreutils, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c root-\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0432 Ubuntu | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Qualys \u0432\u044b\u044f\u0432\u0438\u043b\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2026-3888) \u0432 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0441\u0432\u044f\u0437\u043a\u0438 snap-confine \u0438 systemd-tmpfiles \u0432 Ubuntu, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0443\u044e \u043d\u0435\u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c root-\u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0441\u0438\u0441\u0442\u0435\u043c\u0435.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-snapd-i-rust-soreutils-pozvolyayushhie-poluchit-root-privilegii-v-ubuntu","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-03-18T15:12:13+00:00","article:modified_time":"2026-03-18T15:12:13+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/165172","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=165172"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/165172\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=165172"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=165172"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=165172"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"