Cara Ia Berfungsi

• Kecacatan ini adalah keadaan perlumbaan dalam pembantu kernel xfs_reflink_fill_cow_hole dan xfs_reflink_fill_delalloc . Fungsi-fungsi ini mengitar kunci inode XFS (ILOCK) untuk mendapatkan transaksi, yang menyebabkan kedua-dua pemetaan data fork dan CoW fork menjadi lapuk .
• Semasa pemetaan CoW fork disegarkan semula melalui xfs_find_trim_cow_extent, pemetaan data fork TIDAK disegarkan semula sebelum penulisan seterusnya . Ini membenarkan penulisan serentak memintas proses salin-semasa-tulis dan terus mengubah suai blok data yang dikongsi yang sepatutnya tidak boleh ditulis oleh penyerang .
• Penyerang dengan akaun tempatan tanpa keistimewaan boleh mengeksploitasi ini untuk menulis ganti mana-mana fail yang boleh dibaca — termasuk fail sistem yang dilindungi seperti /etc/passwd, /etc/shadow, atau kunci SSH yang dibenarkan — walaupun pada sistem yang menjalankan SELinux dalam mod Enforcing .
• Pengubahsuaian pada cakera kekal walaupun sistem dihidupkan semula .

Sistem Yang Terjejas

• Versi kernel: Diperkenalkan dalam Linux kernel 4.11 (Februari 2017) melalui commit 3c68d44a2b49 dan hadir dalam setiap kernel utama dan stabil sejak itu .
• Keperluan sistem fail: Sistem fail XFS sasaran mesti mempunyai ciri reflink diaktifkan. Reflink adalah lalai sejak mkfs.xfs pada tahun 2019, bermakna kebanyakan volum XFS moden terjejas .
• Tiada syarat khas diperlukan: Tiada modul kernel bukan lalai, sysctl, keupayaan, atau konfigurasi diperlukan .
• Taburan yang disahkan terjejas (menurut Qualys dan CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• Anggaran impak: Lebih 16.4 juta sistem terdedah .

Pembaikan (Remediation)

• Pembaikan kernel segera adalah langkah utama. Kernel yang telah dibaiki oleh vendor kini tersedia atau sedang diport balik:
  • Red Hat mengeluarkan nasihat (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux menerbitkan CVE ini sebagai berimpak "Penting"
  • Pembaikan kernel hulu telah digabungkan pada 16 Julai 2026
• Pembaikan tersebut mengambil sampel semula pemetaan data fork dengan menanyakannya apabila kaunter jujukan berubah merentas kitaran ILOCK .
• Tiada penyelesaian sementara yang berkesan. Tiada mitigasi bermakna selain daripada menaik taraf kernel — kelemahan ini tidak memerlukan konfigurasi bukan lalai dan memintas SELinux . Satu-satunya alternatif separa adalah menyekat akses tulis I/O langsung ke sistem fail XFS pada sistem yang terjejas sehingga pembaikan selesai .

Cara Ia Berfungsi

• Kecacatan ini adalah keadaan perlumbaan dalam pembantu kernel xfs_reflink_fill_cow_hole dan xfs_reflink_fill_delalloc . Fungsi-fungsi ini mengitar kunci inode XFS (ILOCK) untuk mendapatkan transaksi, yang menyebabkan kedua-dua pemetaan data fork dan CoW fork menjadi lapuk .
• Semasa pemetaan CoW fork disegarkan semula melalui xfs_find_trim_cow_extent, pemetaan data fork TIDAK disegarkan semula sebelum penulisan seterusnya . Ini membenarkan penulisan serentak memintas proses salin-semasa-tulis dan terus mengubah suai blok data yang dikongsi yang sepatutnya tidak boleh ditulis oleh penyerang .
• Penyerang dengan akaun tempatan tanpa keistimewaan boleh mengeksploitasi ini untuk menulis ganti mana-mana fail yang boleh dibaca — termasuk fail sistem yang dilindungi seperti /etc/passwd, /etc/shadow, atau kunci SSH yang dibenarkan — walaupun pada sistem yang menjalankan SELinux dalam mod Enforcing .
• Pengubahsuaian pada cakera kekal walaupun sistem dihidupkan semula .

Sistem Yang Terjejas

• Versi kernel: Diperkenalkan dalam Linux kernel 4.11 (Februari 2017) melalui commit 3c68d44a2b49 dan hadir dalam setiap kernel utama dan stabil sejak itu .
• Keperluan sistem fail: Sistem fail XFS sasaran mesti mempunyai ciri reflink diaktifkan. Reflink adalah lalai sejak mkfs.xfs pada tahun 2019, bermakna kebanyakan volum XFS moden terjejas .
• Tiada syarat khas diperlukan: Tiada modul kernel bukan lalai, sysctl, keupayaan, atau konfigurasi diperlukan .
• Taburan yang disahkan terjejas (menurut Qualys dan CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• Anggaran impak: Lebih 16.4 juta sistem terdedah .

Pembaikan (Remediation)

• Pembaikan kernel segera adalah langkah utama. Kernel yang telah dibaiki oleh vendor kini tersedia atau sedang diport balik:
  • Red Hat mengeluarkan nasihat (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux menerbitkan CVE ini sebagai berimpak "Penting"
  • Pembaikan kernel hulu telah digabungkan pada 16 Julai 2026
• Pembaikan tersebut mengambil sampel semula pemetaan data fork dengan menanyakannya apabila kaunter jujukan berubah merentas kitaran ILOCK .
• Tiada penyelesaian sementara yang berkesan. Tiada mitigasi bermakna selain daripada menaik taraf kernel — kelemahan ini tidak memerlukan konfigurasi bukan lalai dan memintas SELinux . Satu-satunya alternatif separa adalah menyekat akses tulis I/O langsung ke sistem fail XFS pada sistem yang terjejas sehingga pembaikan selesai .