RefluXFS (CVE-2026-64600): Kritisk Linux-sårbarhet gir lokale brukere root-tilgang

RefluXFS (CVE-2026-64600) er en alvorlig sårbarhet for lokal rettighetsheving i Linux-kjernens XFS-filsystem, offentliggjort av Qualys Threat Research Unit 22. juli 2026 . Den lar en uprivilegert lokal bruker oppnå root-tilgang ved å utnytte en race condition i XFS sin copy-on-write (CoW)-mekanisme .

---

Hvordan det fungerer

• Feilen er en race condition i kjerneljelperne xfs_reflink_fill_cow_hole og xfs_reflink_fill_delalloc . Disse funksjonene sykler XFS-inode-låsen (ILOCK) for å hente en transaksjon, noe som fører til at både datafork- og CoW-fork-tilordningene blir utdaterte .
• Mens CoW-fork-tilordningen oppdateres via xfs_find_trim_cow_extent, blir datafork-tilordningen IKKE oppdatert før neste skriveoperasjon . Dette gjør at en samtidig skriveoperasjon kan omgå copy-on-write-prosessen og direkte endre delte datablokker som angriperen ikke skal kunne skrive til .
• En angriper med en lokal uprivilegert konto kan utnytte dette til å overskrive enhver fil de kan lese — inkludert beskyttede systemfiler som /etc/passwd, /etc/shadow eller SSH authorized_keys — selv på systemer som kjører SELinux i Enforcing-modus .
• Endringene på disken overlever en omstart av systemet .

Hvilke systemer er berørt

• Kjerneversjoner: Introdusert i Linux-kjerne 4.11 (februar 2017) med commit 3c68d44a2b49 og til stede i alle påfølgende hovedlinje- og stabile kjerner .
• Filsystemkrav: Mål-XFS-filsystemet må ha reflink-funksjonen aktivert. Reflink er standard siden mkfs.xfs i 2019, noe som betyr at de fleste moderne XFS-volumer er berørt .
• Ingen spesielle betingelser kreves: Ingen ikke-standard kjerne-modul, sysctl, kapabilitet eller konfigurasjon er nødvendig .
• Bekreftede berørte distribusjoner (ifølge Qualys og CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
  • Oracle Linux
  • SUSE 16
  • Fedora
• Estimert påvirkning: Over 16,4 millioner systemer er eksponert .

Utbedring

• Umiddelbar kjerneoppdatering er den primære løsningen. Oppdaterte kjerner fra leverandørene er nå tilgjengelige eller blir tilbakeført:
  • Red Hat har gitt ut sikkerhetsbulletin (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux har publisert CVE-en som "Important"
  • Oppstrøms kjerneoppdateringen ble flettet inn 16. juli 2026
• Oppdateringen tar en ny prøve av datafork-tilordningen ved å spørre etter den når sekvens telleren endres over ILOCK-syklusen .
• Ingen effektiv midlertidig løsning. Det finnes ingen meningsfulle tiltak utover å oppdatere kjernen — sårbarheten krever ingen ikke-standard konfigurasjon og omgår SELinux . Det eneste delvise alternativet er å begrense direkte-I/O skrivetilgang til XFS-filsystemer på berørte systemer inntil oppdatering er fullført .