리눅스 커널 'RefluXFS' 취약점(CVE-2026-64600) 분석: 루트 권한 탈취와 대응법

RefluXFS(CVE-2026-64600)란?

**RefluXFS(CVE-2026-64600)**는 리눅스 커널의 XFS 파일시스템에서 발견된 고위험(High-severity) 로컬 권한 상승(LPE) 취약점입니다. 2026년 7월 22일, **Qualys 위협 연구팀(Threat Research Unit)**에 의해 공개되었습니다.

이 취약점을 악용하면 권한이 없는 일반 로컬 사용자가 XFS의 Copy-on-Write(CoW) 경로에서 발생하는 경쟁 조건(Race Condition)을 이용해 루트(root) 권한을 획득할 수 있습니다.

---

취약점 작동 원리

• 이 결함은 xfs_reflink_fill_cow_hole 및 xfs_reflink_fill_delalloc 커널 헬퍼 함수에서 발생하는 **경쟁 조건(Race Condition)**입니다.
• 이 함수들은 트랜잭션을 획득하기 위해 XFS inode 락(ILOCK)을 순환(cycle)시키는데, 이 과정에서 데이터 포크(data fork)와 CoW 포크 매핑이 모두 오래된 값(stale)이 됩니다.
• CoW 포크 매핑은 xfs_find_trim_cow_extent를 통해 갱신되지만, 데이터 포크 매핑은 다음 쓰기(write) 전에 갱신되지 않습니다.
• 이로 인해 동시 쓰기(concurrent write)가 Copy-on-Write 과정을 우회하고, 공격자가 원래는 쓸 수 없는 공유 데이터 블록을 직접 수정할 수 있게 됩니다.
• 공격자는 로컬의 권한 없는 계정을 사용하여 읽기 권한만 있는 파일(예: /etc/passwd, /etc/shadow, SSH authorized_keys 등)을 덮어쓸 수 있으며, SELinux Enforcing 모드에서도 우회가 가능합니다.
• 디스크 상의 수정 내용은 시스템 재부팅 후에도 유지됩니다.

---

영향 받는 시스템

• 커널 버전: 2017년 2월 리눅스 커널 4.11에서 커밋 3c68d44a2b49에 의해 도입되었으며, 이후 모든 메인라인 및 안정(stable) 커널에 존재합니다.
• 파일시스템 조건: 대상 XFS 파일시스템에 reflink 기능이 활성화되어 있어야 합니다. Reflink는 2019년부터 mkfs.xfs의 기본값이므로, 대부분의 최신 XFS 볼륨이 영향을 받습니다.
• 특별한 조건 불필요: 기본값이 아닌 커널 모듈, sysctl, Capability 또는 특별한 설정이 필요하지 않습니다.
• 확인된 영향 배포판(Qualys 및 CERT-EU 기준):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023

---

대응 및 패치 방법

• 즉각적인 커널 패치가 가장 중요합니다. 각 벤더에서 패치된 커널을 제공하고 있거나 백포트(backport) 중입니다:
  • Red Hat: 보안 권고(RHSA-2026:6153, RHSA-2026:4759) 발표
  • Oracle Linux: CVE 영향도를 "중요(Important)"로 발표
  • 업스트림 커널 패치는 2026년 7월 16일에 병합되었습니다
• 패치 내용: ILOCK 순환 중 시퀀스 카운터가 변경될 때 데이터 포크 매핑을 다시 조회(resample)하도록 수정되었습니다 .
• 유효한 우회 방법 없음: 커널 업그레이드 외에 실질적인 완화 방법은 없습니다. 이 취약점은 기본 설정 외의 추가 설정이 필요 없으며 SELinux도 우회합니다 . 유일한 부분적 대안은 패치가 완료될 때까지 영향 받는 시스템의 XFS 파일시스템에 대한 직접 I/O(direct-I/O) 쓰기 접근을 제한하는 것입니다 .