Cacat ini adalah sebuah race condition di dua fungsi helper kernel: xfs_reflink_fill_cow_hole dan xfs_reflink_fill_delalloc . Ketika fungsi-fungsi ini memutar kunci inode XFS (ILOCK) untuk mendapatkan sebuah transaksi, pemetaan untuk data fork dan CoW fork bisa menjadi basi . Meskipun pemetaan CoW fork diperbarui menggunakan xfs_find_trim_cow_extent, pemetaan data fork tidak diperbarui sebelum operasi tulis berikutnya . Kelalaian ini berarti sebuah proses tulis bersamaan dapat melewati proses copy-on-write sepenuhnya dan langsung memodifikasi blok data bersama yang seharusnya tidak bisa ditulis oleh penyerang .
Seorang penyerang dengan akun lokal tak berhak istimewa dapat mengeksploitasi ini untuk menimpa file apa pun yang bisa mereka baca, termasuk file sistem yang dilindungi seperti /etc/passwd, /etc/shadow, atau SSH authorized_keys. Eksploitasi ini tetap berfungsi bahkan pada sistem yang menjalankan SELinux dalam mode Enforcing . Yang kritis, modifikasi pada disk ini bertahan meskipun sistem di-restart .
Kerentanan ini diperkenalkan di Linux kernel versi 4.11 (Februari 2017) melalui commit 3c68d44a2b49 dan hadir di setiap kernel mainline dan stable sejak saat itu . Kerentanan ini membutuhkan filesystem XFS target dengan fitur reflink yang diaktifkan, yang merupakan pengaturan bawaan untuk mkfs.xfs sejak tahun 2019, yang berarti sebagian besar volume XFS modern terkena dampaknya .
Menurut Qualys dan CERT-EU, distribusi berikut telah diverifikasi langsung sebagai rentan :
Distribusi lain yang menggunakan kernel dalam rentang yang terpengaruh secara implisit juga rentan, termasuk Debian, Arch Linux, Rocky Linux, AlmaLinux, dan build Linux tertanam .
Patch kernel segera adalah satu-satunya perbaikan yang dapat diandalkan. Tidak ada workaround yang berarti — kerentanan ini tidak memerlukan konfigurasi non-bawaan, tidak dapat diblokir oleh SELinux, dan tidak menghasilkan output log kernel selama eksploitasi . Satu-satunya mitigasi parsial adalah membatasi akses tulis direct-I/O ke filesystem XFS pada sistem yang terdampak hingga patching selesai .
Patch kernel upstream telah digabungkan pada 16 Juli 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . Perbaikan ini mengambil sampel ulang pemetaan data fork dengan menanyakannya ketika penghitung urutan berubah selama siklus ILOCK, memastikan bahwa pemetaan basi tidak digunakan untuk operasi tulis berikutnya .
Organisasi yang menggunakan sistem Linux yang terdampak harus segera menerapkan pembaruan keamanan dari vendor dan melakukan reboot untuk memastikan kernel yang sudah di-patch aktif . Karena kerentanan ini memengaruhi basis pengguna yang sangat besar dan dapat dieksploitasi dengan andal tanpa hak istimewa khusus, kerentanan ini merupakan risiko kritis bagi lingkungan Linux multi-penyewa atau dengan pengguna bersama.