Bug Ubuntu CVE-2026-3888: Cara Eksploitasi systemd untuk Akses Root

Bug keamanan tinggi yang ditemukan pada instalasi default Ubuntu Desktop versi 24.04 ke atas membuka celah bagi penyerang untuk eskalasi hak akses hingga level root. Kerentanan ini tercatat dengan kode CVE-2026-3888 dan mendapatkan skor CVSS sebesar 7.8, menandakan risiko serius bagi pengguna Ubuntu.

Bagaimana Kerentanan CVE-2026-3888 Bekerja?

Menurut Tim Riset Ancaman Qualys (TRU), bug ini memungkinkan penyerang lokal tanpa hak istimewa untuk mendapatkan akses penuh root melalui interaksi dua komponen sistem standar: snap-confine dan systemd-tmpfiles.

"Kerentanan ini (CVE-2026-3888) memungkinkan penyerang lokal tanpa hak istimewa untuk naik level hak akses menjadi root penuh melalui interaksi dua komponen sistem: snap-confine dan systemd-tmpfiles," jelas Qualys TRU. "Meskipun eksploitasi membutuhkan jendela waktu tertentu (10–30 hari), dampaknya adalah kompromi total sistem."

Masalah utama berasal dari interaksi tak terduga antara snap-confine yang mengelola lingkungan eksekusi aplikasi snap dengan membuat sandbox, dan systemd-tmpfiles yang secara otomatis membersihkan file serta direktori sementara seperti /tmp, /run, dan /var/tmp yang sudah lebih lama dari batas waktu tertentu.

Detail Eksploitasi dan Mekanisme Serangan

Qualys menjelaskan bahwa serangan ini membutuhkan hak akses rendah dan tanpa interaksi pengguna, meskipun kompleksitasnya tinggi karena adanya mekanisme penundaan waktu dalam rantai eksploitasi.

• Systemd-tmpfiles dijadwalkan untuk menghapus data usang di /tmp secara default.
• Penyerang menunggu daemon pembersihan menghapus direktori penting /tmp/.snap yang dibutuhkan snap-confine. Periode default adalah 30 hari untuk Ubuntu 24.04 dan 10 hari untuk versi berikutnya.
• Setelah direktori dihapus, penyerang membuat ulang direktori tersebut dengan payload berbahaya.
• Pada inisialisasi sandbox berikutnya, snap-confine melakukan bind mount file berbahaya ini dengan hak akses root, memungkinkan eksekusi kode arbitrer dalam konteks berhak istimewa.

Perbaikan dan Versi Ubuntu yang Telah Diperbarui

Kerentanan ini telah diperbaiki pada versi snapd berikut:

• Ubuntu 24.04 LTS - snapd versi 2.73+ubuntu24.04.1 ke atas
• Ubuntu 25.10 LTS - snapd versi 2.73+ubuntu25.10.1 ke atas
• Ubuntu 26.04 LTS (Dev) - snapd versi 2.74.1+ubuntu26.04.1 ke atas
• Snapd upstream - versi 2.75 ke atas

Kerentanan Tambahan pada Paket uutils coreutils

Selain itu, Qualys juga menemukan race condition dalam paket uutils coreutils yang memungkinkan penyerang lokal tanpa hak istimewa mengganti entri direktori dengan symlink selama eksekusi cron oleh root.

"Eksploitasi berhasil dapat menyebabkan penghapusan file secara arbitrer dengan hak root atau eskalasi hak akses lebih lanjut dengan menargetkan direktori sandbox snap," sebut Qualys. "Kerentanan ini sudah dilaporkan dan diperbaiki sebelum rilis publik Ubuntu 25.10. Perintah rm default di Ubuntu 25.10 dikembalikan ke GNU coreutils untuk mengurangi risiko ini. Perbaikan upstream juga telah diterapkan pada repositori uutils."

Analisis Redaksi

Menurut pandangan redaksi, kerentanan CVE-2026-3888 merupakan peringatan penting bagi pengguna Ubuntu, khususnya yang menggunakan snap untuk manajemen aplikasi. Eksploitasi yang memanfaatkan timing pembersihan systemd ini menunjukkan bagaimana interaksi antar komponen sistem yang tampak sepele dapat membuka celah keamanan besar.

Meski eksploitasi ini memerlukan waktu berhari-hari hingga berminggu-minggu, akibat kompromi sistem secara penuh bisa sangat fatal, terutama bagi lingkungan produksi dan server penting. Pengguna wajib segera memperbarui snapd ke versi terbaru untuk mencegah potensi serangan ini.

Selain itu, ditemukannya race condition di paket uutils coreutils menegaskan bahwa keamanan Linux secara keseluruhan juga bergantung pada paket-paket utilitas dasar. Perubahan pada paket inti seperti ini harus diawasi ketat dan diuji secara menyeluruh sebelum digunakan secara luas.

Ke depan, penting untuk memperhatikan pembaruan keamanan yang tidak hanya fokus pada kernel atau aplikasi utama, tapi juga pada service dan utilitas pendukung yang sering diabaikan. Pantau terus berita keamanan agar tidak tertinggal informasi penting seperti ini.

Jangan lupa untuk mengikuti kami di Google News, Twitter, dan LinkedIn untuk konten eksklusif dan update terkini seputar keamanan siber dan teknologi Linux.