RefluXFS (CVE-2026-64600): A Ameaça Silenciosa ao Kernel Linux que Concede Acesso Root a Qualquer Usuário Local

Como Funciona

• A falha é uma condição de corrida nos helpers do kernel xfs_reflink_fill_cow_hole e xfs_reflink_fill_delalloc . Essas funções ciclam o bloqueio do inode XFS (ILOCK) para adquirir uma transação, o que faz com que os mapeamentos do data fork e do CoW fork se tornem obsoletos .
• Enquanto o mapeamento do CoW fork é atualizado via xfs_find_trim_cow_extent, o mapeamento do data fork NÃO é atualizado antes da próxima gravação . Isso permite que uma gravação simultânea ignore o processo de copy-on-write e modifique diretamente blocos de dados compartilhados que o invasor não deveria ser capaz de gravar .
• Um invasor com uma conta local sem privilégios pode explorar isso para sobrescrever qualquer arquivo que possa ler — incluindo arquivos protegidos do sistema como /etc/passwd, /etc/shadow ou chaves SSH autorizadas — mesmo em sistemas que executam o SELinux no modo Enforcing .
• A modificação no disco sobrevive a uma reinicialização do sistema .

Quais Sistemas São Afetados

• Versões do kernel: Introduzida no kernel Linux 4.11 (fevereiro de 2017) pelo commit 3c68d44a2b49 e presente em todos os kernels mainline e estáveis desde então .
• Requisito do sistema de arquivos: O sistema de arquivos XFS alvo deve ter o recurso reflink ativado. O reflink é o padrão desde o mkfs.xfs em 2019, o que significa que a maioria dos volumes XFS modernos são afetados .
• Nenhuma condição especial necessária: Nenhum módulo de kernel não padrão, sysctl, capacidade ou configuração é necessário .
• Distribuições confirmadas como afetadas (de acordo com Qualys e CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• Impacto estimado: Mais de 16,4 milhões de sistemas expostos .

Remediação

• A aplicação imediata de patches no kernel é a principal correção. Kernels corrigidos pelos fornecedores já estão disponíveis ou estão sendo portados:
  • A Red Hat emitiu avisos (RHSA-2026:6153, RHSA-2026:4759)
  • A Oracle Linux publicou o CVE como impacto "Importante"
  • O patch do kernel upstream foi mesclado em 16 de julho de 2026
• O patch reamostra o mapeamento do data fork consultando-o quando o contador de sequência muda durante o ciclo do ILOCK .
• Nenhuma solução alternativa eficaz. Não há mitigações significativas além da atualização do kernel — a vulnerabilidade não requer nenhuma configuração não padrão e ignora o SELinux . A única alternativa parcial é restringir o acesso de gravação direta de I/O a sistemas de arquivos XFS em sistemas afetados até que a aplicação de patches seja concluída .