Рањивости Snapd-а и Rust Coreutils-а омогућавају root приступ на Ubuntu-у

Компанија Qualys је идентификовала рањивост (CVE-2026-3888) у пакетима snap-confine и systemd-tmpfiles у Ubuntu-у, што омогућава непривилегованом кориснику да добије root приступ систему. Проблем се манифестује у подразумеваној Ubuntu конфигурацији почев од издања 24.04. У Ubuntu-у 16.04-22.04, рањивост се може искористити у нестандардним конфигурацијама које имитирају понашање новијих верзија дистрибуције. Исправка за Ubuntu је доступна у јучерашњем ажурирању пакета snapd. Проблем је решен у ажурирању snapd-а 2.75.

Рањивост настаје због неправилне интеракције између услужних програма snap-confine и systemd-tmpfiles, који оба раде са повећаним привилегијама. Snap-confine креира „sandbox“ окружење за покретање snap апликације, док systemd-tmpfiles аутоматски чисти привремене датотеке и директоријуме. Подразумевано, systemd-tmpfiles је конфигурисан да брише све старе датотеке и директоријуме у /tmp, што нападач може да користи да замени директоријум /tmp/.snap након што га је systemd-tmpfiles обрисао, али пре него што га је snap-confine поново креирао.

Напад се састоји од чекања да се покрене процес чишћења привремених датотека, замене директоријума /tmp/.snap након што је обрисан и постављања измењене копије библиотека у /tmp/.snap/usr/lib/x86_64-linux-gnu.exchange. Нападач ће можда морати да чека неколико дана да се systemd-tmpfiles покрене, јер се процес чишћења покреће сваких 10 дана у Ubuntu 24.04 и сваких 30 дана у новијим издањима. Након замене директоријума, нападач иницијализује ново sandbox окружење користећи snap-confine.

Док гради sandbox окружење у привременом директоријуму /tmp/.snap, нападач чека прави тренутак и преименује /tmp/.snap/usr/lib/x86_64-linux-gnu.exchange у /tmp/.snap/usr/lib/x86_64-linux-gnu, чиме замењује библиотеке и осигурава њихово монтирање са root привилегијама. Ово даје нападачу контролу над дељеним библиотекама и ld.so учитавачем који ради у snap sandbox окружењу и омогућава му да извршава произвољни код са root привилегијама покретањем било ког suid програма који користи динамичко повезивање.

Са root приступом у sandbox окружењу изолованом помоћу AppArmor-а и филтера системских позива заснованог на seccomp-у, нападач може да копира /bin/bash у директоријум /var/snap/$SNAP/common/ и подеси његове дозволе на „04755“ (suid root). Иако су дозволе промењене унутар sandbox окружења, датотека са промењеним дозволама је такође доступна на хост систему. Стога, да бисте добили потпун root приступ, једноставно покрените /var/snap/<snap_package_name>/common/bash као обичан, непривилегован корисник из подразумеваног системског окружења.

Рањивост је такође откривена у алатки uutils coreutils (Rust Coreutils), еквиваленту пакета GNU Coreutils заснованом на Rust-у. Рањивост омогућава непривилегованом кориснику да добије root привилегије. Проблем је откривен током дневника промена Ubuntu 25.10 и решен је заобилазним решењем пре издања Ubuntu 25.10 дистрибуцијом /usr/bin/gnurm уместо uutils rm. Проблем је решен у издању uutils coreutils 0.3.0 пакета, без навођења ублажавања рањивости у дневнику промена (напоменуто је да су rm, du, chmod и chgrp имплементирали метод безбедног преласка путање).

Проблем је узрокован условом трке у услужном програму „rm“, који омогућава локалном кориснику да замени садржај директоријума симболичком везом приликом брисања датотеке коју контролише корисник користећи процес „rm“ са root привилегијама. Између осталог, рањивост се може искористити свакодневним покретањем скрипте /etc/cron.daily/apport из cron-а. Ова скрипта, покренута са root привилегијама, рекурзивно брише садржај директоријума /var/crash, у који могу да пишу сви корисници на систему.

Приликом рекурзивног брисања директоријума, услужни програм rm прво скенира све директоријуме, а затим их секвенцијално брише обрнутим редоследом позивањем функције rmdir(). Ако се родитељски директоријум замени симболичком везом одмах након скенирања тог директоријума, али пре скенирања његових подређених директоријума, операција ће резултирати брисањем директоријума на који указује симболичка веза. Ово омогућава не само брисање било које датотеке на систему, већ и ескалацију привилегија брисањем директоријума /tmp/snap-private-tmp/$SNAP/tmp/.snap како би се заменио садржај sandbox окружења snap пакета (метода за добијање root права је слична првој рањивости).

Извор: опеннет.ру