यह कमज़ोरी लिनक्स कर्नेल के XFS फ़ाइल सिस्टम में copy-on-write (CoW) प्रक्रिया से जुड़ी एक रेस कंडीशन (Race Condition) है । आसान भाषा में समझें तो:
xfs_reflink_fill_cow_hole और xfs_reflink_fill_delalloc नामक दो कर्नेल हेल्पर फंक्शन में एक रेस कंडीशन का फायदा उठाती है । कोड के एक हिस्से में, ट्रांज़ैक्शन शुरू करने के लिए XFS inode लॉक (ILOCK) को साइकिल किया जाता है, जिसके कारण डेटा फोर्क और CoW फोर्क दोनों के लिए मैपिंग पुरानी (stale) हो सकती है । हालांकि, CoW फोर्क की मैपिंग को रिफ्रेश किया जाता है, लेकिन डेटा फोर्क की मैपिंग को रिफ्रेश नहीं किया जाता ।/etc/passwd, /etc/shadow, या SSH authorized_keys जैसी सुरक्षित सिस्टम फ़ाइलों को भी ओवरराइट कर सकता है । हैरानी की बात यह है कि यह हमला SELinux को Enforcing मोड में चलने पर भी काम करता है और डिस्क पर किए गए बदलाव सिस्टम रीबूट होने के बाद भी बने रहते हैं ।यह कमज़ोरी लिनक्स कर्नेल 4.11 (फरवरी 2017) में शामिल हुई थी और तब से रिलीज़ सभी मेनलाइन और स्थिर कर्नेल में मौजूद है । इसका फायदा उठाने के लिए केवल इतना ज़रूरी है कि लक्षित XFS वॉल्यूम में reflink सुविधा सक्षम हो, जो कि 2019 से डिफ़ॉल्ट सेटिंग है ।
पुष्टि किए गए प्रभावित वितरण (डिस्ट्रीब्यूशन):
इनके अलावा, Debian, Arch Linux, Rocky Linux, AlmaLinux जैसे अन्य सभी वितरण और एम्बेडेड Linux बिल्ड भी प्रभावित हो सकते हैं ।
तुरंत कर्नेल पैच (Kernel Patch) लगाना ही इस कमज़ोरी से बचाव का एकमात्र प्रभावी उपाय है। इसके लिए कोई कारगर वर्कअराउंड (workaround) मौजूद नहीं है। SELinux इसे रोक नहीं सकता और हमले के दौरान कर्नेल लॉग में कोई सबूत नहीं बचता । एकमात्र अस्थायी उपाय यह है कि प्रभावित सिस्टम पर XFS फ़ाइल सिस्टम तक डायरेक्ट-I/O राइट एक्सेस को प्रतिबंधित कर दिया जाए ।
अपस्ट्रीम कर्नेल पैच 16 जुलाई 2026 को लिनक्स कर्नेल सोर्स ट्री में मर्ज कर दिया गया है (कमिट 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") । यह पैच डेटा फोर्क मैपिंग को रिफ्रेश करने की समस्या को ठीक करता है ।
यदि आप किसी प्रभावित Linux सिस्टम का उपयोग कर रहे हैं, तो तुरंत अपने वितरण के अनुसार सुरक्षा अपडेट इंस्टॉल करें और सिस्टम को रीबूट करें ताकि पैच किया गया कर्नेल एक्टिव हो जाए । यह कमज़ोरी इतनी बड़ी संख्या में सिस्टम को प्रभावित करती है और इसे बिना किसी विशेष अधिकार के आसानी से एक्सप्लॉइट किया जा सकता है, इसलिए यह किसी भी मल्टीटेनेंट या शेयर्ड-यूज़र Linux वातावरण के लिए एक गंभीर खतरा है।