RefluXFS (CVE-2026-64600): ช่องโหว่ยกสิทธิ์เป็น root ใน Linux ผ่าน XFS กระทบ 16.4 ล้านเครื่อง

RefluXFS (CVE-2026-64600) คือช่องโหว่ยกระดับสิทธิ์ในเครื่อง (Local Privilege Escalation) ที่มีความรุนแรงสูงในระบบไฟล์ XFS ของ Linux เคอร์เนล ถูกเปิดเผยโดย Qualys Threat Research Unit เมื่อวันที่ 22 กรกฎาคม 2026 ช่องโหว่นี้ทำให้ผู้ใช้ทั่วไปในระบบสามารถยกระดับสิทธิ์เป็น root ได้โดยใช้ประโยชน์จาก Race Condition ในกลไก copy-on-write (CoW) ของ XFS

---

กลไกการทำงาน

• จุดบกพร่องคือ Race Condition ในฟังก์ชัน xfs_reflink_fill_cow_hole และ xfs_reflink_fill_delalloc ของเคอร์เนล ฟังก์ชันเหล่านี้จะปลดล็อก ILOCK (Inode Lock) ของ XFS เพื่อเริ่มต้น transaction ส่งผลให้ข้อมูลที่แมปไว้ใน data fork และ CoW fork ไม่ถูกต้อง
• เมื่อมีการอัปเดต CoW fork mapping ผ่าน xfs_find_trim_cow_extent แล้ว แต่ data fork mapping จะไม่ได้รับการอัปเดต ก่อนการเขียนครั้งถัดไป ทำให้การเขียนที่เกิดขึ้นพร้อมกันสามารถข้ามกระบวนการ copy-on-write และแก้ไขบล็อกข้อมูลที่ถูกแชร์โดยตรง ซึ่งผู้โจมตีไม่ควรมีสิทธิ์แก้ไข
• ผู้โจมตีที่มีบัญชีผู้ใช้ทั่วไปในระบบ (unprivileged local user) สามารถใช้ช่องโหว่นี้ เขียนทับไฟล์ใดๆ ที่ตนสามารถอ่านได้ เช่น /etc/passwd, /etc/shadow หรือ SSH authorized_keys ที่ป้องกันไว้ แม้ระบบจะใช้ SELinux ในโหมด Enforcing ก็ตาม
• การเปลี่ยนแปลงบนดิสก์นี้ ยังคงอยู่แม้จะรีบูตระบบ

ระบบที่ได้รับผลกระทบ

• เวอร์ชันเคอร์เนล: เริ่มมีใน Linux เคอร์เนล 4.11 (กุมภาพันธ์ 2017) จาก commit 3c68d44a2b49 และมีอยู่ในทุกเคอร์เนลหลักและ stable ตั้งแต่นั้นมา
• ข้อกำหนดของระบบไฟล์: ระบบไฟล์ XFS เป้าหมายต้องเปิดใช้งานคุณสมบัติ reflink ปัจจุบัน mkfs.xfs เปิดใช้งาน reflink เป็นค่าเริ่มต้นตั้งแต่ปี 2019 ทำให้ XFS ส่วนใหญ่ได้รับผลกระทบ
• ไม่ต้องมีการตั้งค่าพิเศษ: ไม่จำเป็นต้องมีโมดูล kernel, sysctl, capability หรือการกำหนดค่าที่ไม่ใช่ค่าเริ่มต้น
• การกระจายระบบปฏิบัติการที่ได้รับการยืนยัน (จาก Qualys และ CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
  • Oracle Linux
  • SUSE 16
  • Fedora
• จำนวนที่คาดว่าจะได้รับผลกระทบ: มากกว่า 16.4 ล้านระบบ ทั่วโลก

วิธีการแก้ไข

• การอัปเดตเคอร์เนลทันทีคือทางออกหลัก ขณะนี้แพตช์เคอร์เนลจากผู้จำหน่ายซอฟต์แวร์เริ่มวางจำหน่ายแล้ว:
  • Red Hat ออกประกาศความปลอดภัย (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux ประกาศ CVE นี้ว่าเป็นผลกระทบ "สำคัญ"
  • แพตช์ต้นทางถูกรวมเข้ากับเคอร์เนลหลักเมื่อวันที่ 16 กรกฎาคม 2026
• แพตช์ จะทำการตรวจสอบ data fork mapping อีกครั้งโดยการสอบถามเมื่อตัวนับลำดับ (sequence counter) มีการเปลี่ยนแปลงในช่วงรอบ ILOCK
• ไม่มีวิธีแก้ไขชั่วคราวที่มีประสิทธิภาพ ไม่มีมาตรการบรรเทาผลกระทบที่มีความหมายอื่นนอกจากการอัปเกรดเคอร์เนล เนื่องจากช่องโหว่นี้ไม่ต้องการการตั้งค่าที่ไม่ใช่ค่าเริ่มต้น และสามารถเลี่ยง SELinux ได้ ทางเลือกบางส่วนคือการจำกัดสิทธิ์การเขียนแบบ direct-I/O ไปยังระบบไฟล์ XFS บนระบบที่ได้รับผลกระทบ จนกว่าจะดำเนินการแพตช์เสร็จ