CVE-2026-3888: LPE to root in snapd colpisce Ubuntu LTS dal 2016

Qualys ha scoperto una vulnerabilità di privilege escalation in snapd che permette a un attaccante locale di ottenere root su Ubuntu 16.04-24.04 LTS. Il CVSS 7.8

Il 17 marzo 2026 Canonical ha inviato a NVD il record di CVE-2026-3888, una vulnerabilità di local privilege escalation in snapd scoperta da Qualys. NVD ha pubblicato l'analisi iniziale il 4 giugno 2026, con aggiornamenti CISA-ADP e Canonical il 17 giugno. La falla colpisce tutte le versioni Ubuntu LTS supportate dal 2016 a oggi, con un CVSS 7.8 HIGH che ne evidenzia la gravità per qualsiasi ambiente enterprise con parco Ubuntu.

Punti chiave

CVE-2026-3888 è una local privilege escalation in snapd su Linux, scoperta da Qualys e documentata con CVSS 7.8 HIGH da Canonical Ltd. come CNA
Il meccanismo sfrutta la ricreazione della directory /tmp privata di snap quando systemd-tmpfiles è configurato per la pulizia automatica, aprendo una finestra temporale di attacco
Le versioni affette sono Ubuntu 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS e 24.04 LTS, coprendo quasi un decennio di rilasci enterprise
Il componente vulnerabile è snap-confine, il programma interno a snapd che costruisce l'ambiente di esecuzione sandboxato, dove una race condition nell'inizializzazione permette il controllo della directory temporanea prima del trasferimento di ownership a root

"Local privilege escalation in snapd on Linux allows local attackers to get root privilege by re-creating snap's private /tmp directory when systemd-tmpfiles is configured to automatically clean up this directory." — Canonical Ltd. via NVD CVE-2026-3888

Il meccanismo: race condition nella sandbox di snap-confine

Snap-confine è il programma che snapd invoca per preparare l'ambiente di esecuzione di ogni pacchetto snap. Durante questa fase di bootstrap, il binary crea directory e file temporanei sotto /tmp. Secondo l'analisi di Qualys citata da The Hacker News, questi elementi sono inizialmente owned dall'utente non privilegiato che ha lanciato l'applicazione. L'ownership viene trasferita a root poco dopo, ma resta una finestra temporale in cui il chiamante mantiene il controllo completo.

La descrizione ufficiale di Canonical nel record NVD indica che l'attaccante ricrea la directory /tmp privata di snap quando systemd-tmpfiles è configurato per la pulizia automatica. The Hacker News, riportando l'analisi di Qualys, specifica che questa configurazione ha aperto una race condition: due condizioni di corsa concorrenti, una basata su mount FUSE malevolo e una su symlink verso percorsi sensibili di sistema. Il percorso /run/udev/ è indicato come target per bypassare il confinement di AppArmor.

Il vettore di attacco è locale e richiede condizioni di accesso non privilegiato preesistente sul sistema, come conferma il campo PR:L (Privileges Required: Low) del CVSS assegnato da Canonical. Non è un attacco remoto: il vettore AV:L (Attack Vector: Local) lo posiziona nella categoria delle minacce insider o di escalation post-compromissione iniziale.

Un ciclo ricorrente: le hardening changes generano nuove falle

L'angolo di lettura più rilevante emerge dal contesto storico. Qualys aveva già scoperto una vulnerabilità simile nel 2022, CVE-2021-44731, sempre nel componente snap-confine. Le modifiche di hardening introdotte per mitigare quel rischio precedente hanno, secondo la ricostruzione di Qualys, generato nuove race condition. Il problema non è stato eliminato ma trasformato.

Questo pattern è documentato esplicitamente da Saeed Abbasi, head of Threat Research Unit di Qualys, attraverso The Hacker News: "The issue stems from a security hardening change that inadvertently introduced a race condition during sandbox initialization". La frase "inadvertently introduced" è significativa: le cure hanno peggiorato il male in un componente considerato critico per la sicurezza di Ubuntu.

Il record NVD non fornisce dettagli sul ciclo di vulnerabilità 2021-2026, ma la convergenza tra le due scoperte di Qualys costituisce un pattern architetturale più che un incidente isolato. Per le organizzazioni con parco Ubuntu, questo implica che snap-confine merita attenzione continuativa indipendentemente dall'ultima patch applicata.

L'impatto: cinque LTS e la superficie di attacco enterprise

Il record NVD elenca esplicitamente cinque versioni Ubuntu LTS come affette: 16.04, 18.04, 20.04, 22.04, 24.04. Questa copertura temporale, dal 2016 al 2024, tocca workstation di dipendenti, sistemi sviluppatore, endpoint amministrativi e server legacy ancora in supporto. Ubuntu Desktop è installato in configurazione default su milioni di macchine: la presenza di una LPE to root in questa condizione espone una superficie di attacco vasta.

Il CVSS 3.1 di 7.8 HIGH con vettore CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H merita dissezione. La complessità di attacco AC:H (High) indica che l'exploit non è banale, ma la scope S:C (Changed) significa che l'impatto travalica il componente vulnerabile, influenzando risorse oltre lo scope di sicurezza del componente stesso. La combinazione di confidenzialità, integrità e disponibilità tutte a livello HIGH con scope changed rende la falla particolarmente pericolosa in ambienti multi-tenant o con dati sensibili.

The Hacker News riporta un dato contestuale, non direttamente collegato a CVE-2026-3888: 442 security flaws su Linux pubblicate negli ultimi 3 giorni al momento dell'articolo. Questo numero, pur non essendo specifico della falla in esame, posiziona CVE-2026-3888 in un ecosistema Linux sotto pressione di vulnerabilità.

Perché è importante

Il brief non specifica se esista un advisory strutturato separato di Qualys dedicato a CVE-2026-3888, distinguendolo da CVE-2026-8933, un altro identificatore citato da The Hacker News nello stesso articolo. La fonte descrive dettagliatamente il meccanismo di exploit per CVE-2026-8933, mentre la descrizione NVD di CVE-2026-3888 è più generica, limitandosi al meccanismo /tmp + systemd-tmpfiles.

Il dossier non documenta se il fix sia già disponibile e distribuito per tutte le versioni LTS affette. Non emergono informazioni su exploit in-the-wild o proof-of-concept pubblici. La data di pubblicazione esatta dell'articolo The Hacker News presenta un'incoerenza interna: l'header riporta "Jul 22, 2026" mentre il timestamp di pubblicazione indica "Sun, 26 Jul 2026 07:52:07 GMT".

Non è noto se snap-confine sia identificato come componente esatto anche nel record NVD di CVE-2026-3888: il record ufficiale indica "snapd" come prodotto vulnerabile, mentre l'analisi di Qualys attraverso The Hacker News punta specificamente su snap-confine. Questa distinzione, sebbene tecnicamente fine, è rilevante per chi mappa i componenti critici della propria postura di sicurezza.

La lezione del sandbox che non sandboxa

La ricorrenza di falle in snap-confine suggerisce che il modello di isolamento di Ubuntu, basato su combinazione di mount namespace, AppArmor e directory temporanee controllate, contiene un punto cieco strutturale. Ogni tentativo di irrigidire il meccanismo ha introdotto nuove race condition. Per le organizzazioni, questo significa che la sicurezza di snapd non può essere considerata risolta definitivamente con una patch, ma richiede monitoraggio del componente nel tempo.

La presenza di systemd-tmpfiles come trigger della pulizia automatica aggiunge un elemento di interazione tra sottosistemi diversi: la sicurezza di snapd dipende dalla configurazione di un servizio di sistema separato. Questa interdipendenza è comune in Linux, ma raramente documentata con tale chiarezza come vettore di escalation.

Il fatto che cinque LTS siano affette impedisce alle organizzazioni di considerare il problema come legato a una versione obsoleta o poco usata. L'upgrade a 24.04 LTS, l'ultima versione elencata, non offre protezione intrinseca. La valutazione del rischio deve partire dal presupposto che qualsiasi installazione Ubuntu con snapd attivo sia potenzialmente esposta, fino a conferma di mitigazione specifica da parte del vendor.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti