RefluXFS: Celah Keamanan Kritis di Kernel Linux yang Bisa Beri Akses Root ke Penyerang Lokal

Bagaimana Cara Kerjanya?

• Cacat ini adalah sebuah race condition di dalam fungsi pembantu kernel xfs_reflink_fill_cow_hole dan xfs_reflink_fill_delalloc . Fungsi-fungsi ini memutar (cycle) kunci inode XFS (ILOCK) untuk mendapatkan sebuah transaksi, yang menyebabkan pemetaan data fork dan CoW fork menjadi basi (stale) .
• Saat pemetaan CoW fork disegarkan ulang melalui xfs_find_trim_cow_extent, pemetaan data fork TIDAK disegarkan sebelum penulisan berikutnya . Hal ini memungkinkan sebuah penulisan bersamaan (concurrent write) untuk melewati proses copy-on-write dan secara langsung memodifikasi blok data bersama (shared data blocks) yang seharusnya tidak dapat ditulisi oleh penyerang .
• Seorang penyerang dengan akun lokal tanpa hak istimewa dapat mengeksploitasi ini untuk menimpa (overwrite) file apa pun yang bisa mereka baca — termasuk file sistem yang dilindungi seperti /etc/passwd, /etc/shadow, atau kunci SSH authorized_keys — bahkan pada sistem yang menjalankan SELinux dalam mode Enforcing .
• Modifikasi pada disk ini bertahan meskipun sistem di-restart .

Sistem Mana Saja yang Terdampak?

• Versi kernel: Kerentanan ini diperkenalkan pada kernel Linux 4.11 (Februari 2017) melalui commit 3c68d44a2b49 dan hadir di setiap kernel mainline dan stable sejak saat itu .
• Persyaratan filesystem: Filesystem XFS target harus memiliki fitur reflink yang diaktifkan. Reflink telah menjadi pengaturan default sejak mkfs.xfs pada tahun 2019, yang berarti sebagian besar volume XFS modern terdampak .
• Tidak ada kondisi khusus yang diperlukan: Tidak diperlukan modul kernel non-default, sysctl, kapabilitas, atau konfigurasi khusus .
• Distribusi yang terkonfirmasi terdampak (menurut Qualys dan CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• Perkiraan dampak: Lebih dari 16,4 juta sistem terekspos .

Bagaimana Cara Menambalnya?

• Penambalan kernel segera adalah perbaikan utama. Kernel yang sudah diperbaiki oleh vendor kini tersedia atau sedang dalam proses backport:
  • Red Hat telah menerbitkan advisori (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux telah mempublikasikan CVE ini dengan dampak "Penting"
  • Tambalan (patch) kernel hulu (upstream) telah digabungkan pada 16 Juli 2026
• Tambalan tersebut bekerja dengan mengambil sampel ulang pemetaan data fork dengan menanyakannya ketika penghitung urutan (sequence counter) berubah selama siklus ILOCK .
• Tidak ada solusi sementara (workaround) yang efektif. Tidak ada mitigasi berarti selain meningkatkan versi kernel — kerentanan ini tidak memerlukan konfigurasi non-default dan dapat melewati SELinux . Satu-satunya alternatif parsial adalah membatasi akses tulis direct-I/O ke filesystem XFS pada sistem yang terdampak hingga proses penambalan selesai .