31/03/2026
Ubuntu Bug ermöglicht Angreifern Root-Zugriff über SystemD-Cleanup-Timing-Exploit
Eine schwerwiegende Sicherheitslücke, die Standardinstallationen von Ubuntu Desktop-Versionen 24.04 und neuer betrifft, könnte ausgenutzt werden, um Berechtigungen auf Root-Ebene zu eskalieren.
Als CVE-2026-3888 (CVSS-Wert: 7,8) erfasst, könnte das Problem es einem Angreifer ermöglichen, die Kontrolle über ein anfälliges System zu übernehmen.
„Diese Schwachstelle (CVE-2026-3888) erlaubt es einem nicht privilegierten lokalen Angreifer, über das Zusammenspiel zweier Standard-Systemkomponenten – snap-confine und systemd-tmpfiles – vollständigen Root-Zugriff zu erlangen“, erklärte die Qualys Threat Research Unit (TRU).
„Obwohl der Exploit ein bestimmtes zeitbasiertes Fenster (10–30 Tage) erfordert, ist die daraus resultierende Auswirkung eine vollständige Kompromittierung des Hostsystems.“
Das Problem, so Qualys, resultiert aus der unbeabsichtigten Interaktion von snap-confine, das Ausführungsumgebungen für Snap-Anwendungen verwaltet, indem es eine Sandbox erstellt, und systemd-tmpfiles, das automatisch temporäre Dateien und Verzeichnisse (z. B. /tmp, /run und /var/tmp) entfernt, die älter als ein definierter Schwellenwert sind.
Die Schwachstelle wurde in den folgenden Versionen behoben:
Ubuntu 24.04 LTS – snapd-Versionen vor 2.73+ubuntu24.04.1
Ubuntu 25.10 LTS – snapd-Versionen vor 2.73+ubuntu25.10.1
Ubuntu 26.04 LTS (Dev) – snapd-Versionen vor 2.74.1+ubuntu26.04.1
Upstream snapd – Versionen vor 2.75
Der Angriff erfordert geringe Berechtigungen und keine Benutzerinteraktion, obwohl die Angriffskomplexität aufgrund des zeitverzögerten Mechanismus in der Exploitkette hoch ist. „In Standardkonfigurationen ist systemd-tmpfiles so geplant, dass veraltete Daten in /tmp entfernt werden“, sagte Qualys. „Ein Angreifer kann dies ausnutzen, indem er das Timing dieser Bereinigungszyklen manipuliert.“
Der Angriff verläuft folgendermaßen: Der Angreifer muss warten, bis der Cleanup-Daemon des Systems ein kritisches Verzeichnis (/tmp/.snap), das von snap-confine benötigt wird, löscht. Der Standardzeitraum beträgt 30 Tage in Ubuntu 24.04 und 10 Tage in neueren Versionen. Nach dem Löschen erstellt der Angreifer das Verzeichnis mit bösartigen Nutzlasten neu. Während der nächsten Sandbox-Initialisierung bindet snap-confine diese Dateien als Root ein, wodurch die Ausführung beliebigen Codes im privilegierten Kontext ermöglicht wird.
Darüber hinaus erklärte Qualys, dass eine Race-Condition-Schwachstelle im uutils-coreutils-Paket entdeckt wurde, die es einem nicht privilegierten lokalen Angreifer ermöglicht, Verzeichniseinträge während von Root ausgeführten Cron-Jobs durch symbolische Links (sogenannte Symlinks) zu ersetzen.
„Eine erfolgreiche Ausnutzung könnte zur beliebigen Dateilöschung als Root oder zu weiterer Privilegieneskalation führen, indem Snap-Sandbox-Verzeichnisse ins Visier genommen werden“, erklärte das Cybersicherheitsunternehmen.
„Die Schwachstelle wurde vor der öffentlichen Veröffentlichung von Ubuntu 25.10 gemeldet und behoben. Der Standardbefehl rm in Ubuntu 25.10 wurde zur unmittelbaren Risikominderung wieder auf GNU coreutils zurückgesetzt. Seitdem wurden Upstream-Fixes im uutils-Repository angewendet.“