🟡 MOYEN — CVE-2026-3888 (snapd LPE) — Ajouter `apt remove --purge snapd` à l'étape 12 de install.sh

[dust-agent]

Contexte

CVE-2026-3888 — Local Privilege Escalation dans snapd via interaction snap-confine + systemd-tmpfiles

• CVSS v3.1 : 7.8 (High) — AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
• Publié : 17 mars 2026 (Qualys TRU)
• USN : USN-8102-1 (patch snapd → 2.73+ubuntu24.04.2)
• PoC public : TheCyberGeek/CVE-2026-3888-snap-confine-systemd-tmpfiles-LPE

---

Mécanisme

1. systemd-tmpfiles supprime /tmp/.snap après 10–30 jours (timer automatique)
2. L'attaquant recrée ce répertoire avec des payloads malveillants
3. snap-confine (setuid root) bind-monte ces fichiers lors du prochain lancement d'un snap → exécution arbitraire en root

---

Applicabilité VPS-SECURE

Critère	Analyse
Ubuntu 24.04 LTS concerné ?	OUI — snapd inclus par défaut dans Ubuntu Server 24.04
install.sh supprime snapd ?	NON — l'étape 12 désactive avahi/cups/bluetooth mais pas snapd
unattended-upgrades couvre ?	OUI — USN-8102-1 patchable via apt (snapd = paquet système)
Exploité in-the-wild ?	NON confirmé — PoC public disponible, AC:H (délai 10-30j)
Accès local requis ?	OUI — AV:L, nécessite un utilisateur local non-privilégié

Risque résiduel : Sur un VPS avec uniquement vpsadmin (sudo), la surface est limitée. Mais si une compromission partielle (container escape → shell limité) arrive, snapd non purgé reste une voie d'escalade.

---

Action requise

Sur install.sh — Étape 12 (Désactivation services inutiles)

Ajouter la suppression de snapd dans la liste des services/paquets désactivés :

# Supprimer snapd — inutile sur un serveur, élimine CVE-2026-3888
if dpkg -l snapd 2>/dev/null | grep -q "^ii"; then
    log_info "Suppression de snapd (surface d'attaque CVE-2026-3888)..."
    systemctl stop snapd.socket snapd.service 2>/dev/null || true
    apt-get remove --purge -y snapd
    rm -rf /snap /var/snap /var/lib/snapd /root/snap
    log_success "snapd supprimé — surface d'attaque éliminée."
fi

Sur le VPS existant (action manuelle)

sudo systemctl stop snapd.socket snapd.service
sudo apt remove --purge snapd -y
sudo rm -rf /snap /var/snap /var/lib/snapd /root/snap

---

Références

• Qualys Blog — CVE-2026-3888
• Ubuntu Security — CVE-2026-3888
• Ubuntu Discourse — Snapd LPE
• linuxsecurity.com — USN-8102-1

---

Rapport Sylvie — CVE Watch 2026-06-17