Hackers podem virar root no Ubuntu explorando falha na limpeza automática do systemd

Uma vulnerabilidade de alta gravidade foi identificada em instalações padrão do Ubuntu Desktop 24.04 e versões posteriores, permitindo que invasores locais escalem privilégios até o nível de root. A falha, rastreada como CVE-2026-3888 e com pontuação 7.8 no CVSS, foi analisada pela Qualys e pode resultar no comprometimento completo do sistema afetado.

O problema não está em um único componente isolado, mas na interação entre dois serviços amplamente utilizados no sistema: o snap-confine, responsável por gerenciar ambientes isolados (sandbox) de aplicações Snap, e o systemd-tmpfiles, que realiza a limpeza automática de arquivos e diretórios temporários, como /tmp, /run e /var/tmp.

De acordo com a análise, a vulnerabilidade surge a partir de uma falha lógica no processo de limpeza automática. O systemd-tmpfiles remove diretórios considerados obsoletos após um determinado período — 30 dias no Ubuntu 24.04 e 10 dias em versões mais recentes. Esse comportamento pode ser explorado por um invasor que aguarda a exclusão de um diretório crítico utilizado pelo snap-confine, especificamente o /tmp/.snap.

Uma vez que esse diretório é removido, o invasor recria a estrutura com conteúdo malicioso. Na próxima execução de uma aplicação Snap, o snap-confine monta esses arquivos com privilégios elevados, permitindo a execução arbitrária de código como root. O ataque, embora exija tempo e sincronização precisa, não requer interação do usuário e pode ser realizado com privilégios mínimos.

Esse tipo de exploração baseado em timing (janela de tempo) torna o ataque mais complexo, mas não menos perigoso. Segundo os pesquisadores, a janela de oportunidade pode variar entre 10 e 30 dias, dependendo da configuração do sistema, o que indica que o invasor pode preparar o ambiente de forma silenciosa e aguardar o momento ideal para executar o ataque.

Além dessa falha, também foi identificada uma vulnerabilidade adicional envolvendo uma condição de corrida (race condition) no pacote uutils coreutils. Essa falha permite que um invasor substitua entradas de diretório por links simbólicos (symlinks) durante execuções de tarefas automatizadas (cron) com privilégios elevados. Na prática, isso pode resultar na exclusão arbitrária de arquivos como root ou facilitar novas etapas de escalada de privilégios.

A vulnerabilidade CVE-2026-3888 já foi corrigida nas seguintes versões:

• Ubuntu 24.04 LTS — versões do snapd anteriores à 2.73+ubuntu24.04.1

• Ubuntu 25.10 LTS — versões do snapd anteriores à 2.73+ubuntu25.10.1

• Ubuntu 26.04 LTS (desenvolvimento) — versões anteriores à 2.74.1+ubuntu26.04.1

• Upstream snapd — versões anteriores à 2.75

No caso da falha envolvendo o uutils, a mitigação foi realizada rapidamente com a reversão do comando rm para a versão tradicional do GNU coreutils no Ubuntu 25.10, enquanto correções adicionais já foram aplicadas no repositório upstream.

O incidente reforça um ponto importante na segurança de sistemas Linux modernos: nem todas as vulnerabilidades estão associadas a falhas clássicas de memória ou execução de código, mas podem surgir da interação inesperada entre componentes legítimos do sistema. Esse tipo de falha é particularmente difícil de detectar, pois envolve comportamentos considerados normais individualmente, mas que, combinados, criam vetores de ataque.

Para ambientes corporativos e usuários que utilizam versões afetadas, a recomendação é aplicar as atualizações de segurança imediatamente, revisar políticas de limpeza automática e monitorar atividades suspeitas em diretórios temporários, que continuam sendo um dos principais pontos de exploração em sistemas Unix-like.