RefluXFS : une vulnérabilité critique dans le noyau Linux permet à un utilisateur local d'obtenir les droits root

Comment ça marche

• La faille est une race condition dans les fonctions noyau xfs_reflink_fill_cow_hole et xfs_reflink_fill_delalloc . Ces fonctions alternent le verrouillage de l'inode XFS (ILOCK) pour acquérir une transaction, ce qui rend obsolètes les mappages de la « data fork » et de la « CoW fork » .
• Pendant que le mappage de la CoW fork est actualisé via xfs_find_trim_cow_extent, le mappage de la data fork n'est PAS actualisé avant l'écriture suivante . Cela permet à une écriture concurrente de contourner le processus de copie sur écriture et de modifier directement des blocs de données partagés que l'attaquant ne devrait pas pouvoir écrire .
• Un attaquant disposant d'un compte local non privilégié peut exploiter cette faille pour écraser tout fichier qu'il peut lire — y compris des fichiers système protégés comme /etc/passwd, /etc/shadow ou les clés SSH autorisées — même sur des systèmes exécutant SELinux en mode Enforcing .
• La modification sur le disque survit à un redémarrage du système .

Quels systèmes sont touchés

• Versions du noyau : Introduite dans le noyau Linux 4.11 (février 2017) par le commit 3c68d44a2b49 et présente dans tous les noyaux principaux et stables depuis .
• Prérequis du système de fichiers : Le système de fichiers XFS cible doit avoir la fonctionnalité reflink activée. Reflink est la valeur par défaut depuis mkfs.xfs en 2019, ce qui signifie que la plupart des volumes XFS modernes sont affectés .
• Aucune condition particulière requise : Aucun module noyau non standard, sysctl, capacité ou configuration n'est nécessaire .
• Distributions confirmées comme affectées (selon Qualys et CERT-EU) :
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• Impact estimé : Plus de 16,4 millions de systèmes exposés .

Remédiation

• La mise à jour immédiate du noyau est la solution principale. Les noyaux corrigés par les éditeurs sont désormais disponibles ou en cours de rétroportage :
  • Red Hat a publié des avis (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux a classé le CVE comme « Important »
  • Le correctif en amont a été fusionné le 16 juillet 2026
• Le correctif rééchantillonne le mappage de la data fork en l'interrogeant lorsque le compteur de séquence change pendant le cycle ILOCK .
• Aucune solution de contournement efficace. Il n'existe pas de mesures d'atténuation significatives autres que la mise à jour du noyau — la vulnérabilité ne nécessite aucune configuration non standard et contourne SELinux . La seule alternative partielle consiste à restreindre l'accès en écriture directe (O_DIRECT) aux systèmes de fichiers XFS sur les systèmes affectés jusqu'à ce que le correctif soit appliqué .