CVE-2026-3888: Vulnerabilidade crítica no Ubuntu permite acesso root via systemd

Uma nova vulnerabilidade de alta gravidade foi publicada afetando múltiplas versões do Ubuntu. A CVE-2026-3888 explora uma race condition entre o snap-confine e o systemd-tmpfiles, permitindo que um usuário local sem privilégios obtenha acesso root completo ao sistema.

Se sua empresa utiliza Ubuntu em servidores, estações de trabalho ou containers, este é um alerta que exige ação imediata.

O que é a CVE-2026-3888

A vulnerabilidade reside na interação entre dois componentes centrais do ecossistema Ubuntu:

O problema ocorre durante a janela de tempo entre a criação de arquivos temporários pelo snap-confine e a limpeza executada pelo systemd-tmpfiles. Um atacante local pode explorar essa race condition utilizando symlinks maliciosos no diretório `/tmp/.snap/` para redirecionar operações privilegiadas para alvos arbitrários no sistema de arquivos.

Detalhes técnicos da exploração

A exploração segue este fluxo:

1. O atacante monitora a criação de arquivos em `/tmp/.snap/` durante a execução de snaps

2. Na janela entre a criação do diretório temporário e a configuração completa das permissões, o atacante substitui um diretório por um symlink apontando para `/etc` ou outro diretório sensível

3. O snap-confine, executando como SUID root, segue o symlink e aplica operações privilegiadas no diretório alvo

4. O atacante obtém escrita privilegiada em arquivos do sistema

```bash

# Demonstração conceitual (NÃO execute em produção)

# O atacante cria um monitor no /tmp/.snap/

inotifywait -m /tmp/.snap/ -e create |

while read path action file; do

# Substitui diretório por symlink malicioso

rm -rf "/tmp/.snap/$file"

ln -s /etc/shadow "/tmp/.snap/$file"

done

```

O CVSS v3.1 da vulnerabilidade é 7.8 (High), classificação que reflete o impacto de escalada de privilégio local para root.

Versões afetadas

|-------------|-----------------|--------|

Sistemas que não utilizam snaps ou que desativaram o snapd não são afetados.

Impacto real

A exploração bem-sucedida permite:

Em ambientes corporativos, um único workstation comprometido pode ser a porta de entrada para toda a infraestrutura.

Como corrigir imediatamente

Passo 1: Atualizar o sistema

```bash

# Atualizar lista de pacotes e aplicar todas as correções

sudo apt update && sudo apt upgrade -y

# Verificar a versão atual do snapd

snap version

# Se necessário, atualizar apenas o snapd

sudo apt install --only-upgrade snapd

# Reiniciar para garantir que todas as mudanças sejam aplicadas

sudo reboot

```

Passo 2: Verificar se a correção foi aplicada

```bash

# Após o reboot, confirmar a versão

snap version

# snapd deve ser >= 2.73 (Ubuntu 24.04/25.10)

# snapd deve ser >= 2.74.1 (Ubuntu 26.04 dev)

# snapd deve ser >= 2.75 (upstream)

# Verificar se há snaps pendentes de atualização

snap refresh --list

```

Passo 3: Auditoria pós-correção

```bash

# Verificar se houve exploração anterior

# Procurar por arquivos suspeitos em /tmp/.snap/

ls -la /tmp/.snap/ 2>/dev/null

# Verificar symlinks suspeitos

find /tmp -type l -user root -ls 2>/dev/null

# Revisar logs do snap-confine

journalctl -u snapd --since "7 days ago" | grep -i "error\|denied\|confine"

# Verificar integridade de arquivos críticos

debsums -c 2>/dev/null | head -20

```

Recomendações de hardening adicional

Além de aplicar o patch, recomendamos:

Restringir acesso local

```bash

# Limitar quem pode executar snaps

sudo groupadd snapusers

sudo snap set system experimental.user-authorization=true

```

Monitorar diretórios temporários

```bash

# Adicionar regra de auditoria para /tmp/.snap

sudo auditctl -w /tmp/.snap -p rwxa -k snap_tmpdir

sudo auditctl -w /run/snapd -p rwxa -k snapd_runtime

# Verificar regras aplicadas

sudo auditctl -l | grep snap

```

Hardening do systemd-tmpfiles

```bash

# Criar override para limpeza mais frequente

sudo mkdir -p /etc/tmpfiles.d/

cat << 'EOF' | sudo tee /etc/tmpfiles.d/snap-hardening.conf

# Limpeza agressiva de /tmp/.snap

e /tmp/.snap - - - 1h

# Remover symlinks órfãos em /tmp

L+ /tmp/.snap - - - - -

EOF

sudo systemd-tmpfiles --create

```

Patching frequente e automatizado

```bash

# Habilitar atualizações automáticas de segurança

sudo dpkg-reconfigure -plow unattended-upgrades

# Verificar configuração

cat /etc/apt/apt.conf.d/20auto-upgrades

```

Linha do tempo

|------|--------|

Precisa de ajuda?

Agende uma call gratuita com nossa equipe e descubra como podemos proteger sua infraestrutura Linux contra vulnerabilidades zero-day. [Fale com um especialista →](/contato)

Sua empresa monitora vulnerabilidades em tempo real? Nossa equipe de segurança já ajudou dezenas de empresas a implementar patching automatizado, monitoramento de CVEs e hardening de sistemas Linux. Marque uma reunião sem compromisso e veja na prática como podemos blindar seu ambiente.