Lỗ hổng "RefluXFS" trong nhân Linux: Nguy cơ leo thang đặc quyền root ảnh hưởng hơn 16,4 triệu hệ thống

RefluXFS (CVE-2026-64600) là một lỗ hổng leo thang đặc quyền cục bộ mức nghiêm trọng trong hệ thống tệp XFS của nhân Linux, được Qualys Threat Research Unit công bố vào ngày 22 tháng 7 năm 2026 . Lỗ hổng này cho phép người dùng cục bộ không có đặc quyền giành quyền truy cập root bằng cách khai thác lỗi điều kiện tranh chấp (race condition) trong đường dẫn copy-on-write (CoW) của XFS .

---

Cơ chế hoạt động

• Lỗi là một điều kiện tranh chấp trong các hàm kernel helper xfs_reflink_fill_cow_hole và xfs_reflink_fill_delalloc . Các hàm này luân chuyển khóa inode XFS (ILOCK) để lấy một giao dịch, khiến cả ánh xạ data fork và CoW fork trở nên lỗi thời .
• Trong khi ánh xạ CoW fork được làm mới qua xfs_find_trim_cow_extent, ánh xạ data fork KHÔNG được làm mới trước lần ghi tiếp theo . Điều này cho phép một luồng ghi đồng thời bỏ qua quá trình copy-on-write và trực tiếp sửa đổi các khối dữ liệu dùng chung mà lẽ ra attacker không được phép ghi vào .
• Một attacker với tài khoản cục bộ không có đặc quyền có thể khai thác lỗi này để ghi đè lên bất kỳ tệp nào họ có quyền đọc — bao gồm các tệp hệ thống được bảo vệ như /etc/passwd, /etc/shadow, hoặc SSH authorized_keys — ngay cả trên các hệ thống đang chạy SELinux ở chế độ Enforcing .
• Việc sửa đổi trên đĩa tồn tại sau khi khởi động lại hệ thống .

Hệ thống nào bị ảnh hưởng

• Phiên bản nhân: Được giới thiệu từ Linux kernel 4.11 (tháng 2 năm 2017) qua commit 3c68d44a2b49 và có mặt trong mọi nhân mainline và stable kể từ đó .
• Yêu cầu hệ thống tệp: Hệ thống tệp XFS mục tiêu phải được bật tính năng reflink. Reflink là mặc định kể từ mkfs.xfs năm 2019, nghĩa là hầu hết các ổ XFS hiện đại đều bị ảnh hưởng .
• Không yêu cầu điều kiện đặc biệt: Không cần module kernel, sysctl, capability hay cấu hình không mặc định nào .
• Các bản phân phối được xác nhận bị ảnh hưởng (theo Qualys và CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
  • Oracle Linux
  • SUSE 16
  • Fedora
• Mức độ ảnh hưởng ước tính: Hơn 16,4 triệu hệ thống bị lộ diện .

Biện pháp khắc phục

• Việc vá nhân kernel ngay lập tức là giải pháp chính. Các nhân kernel đã được vá bởi nhà cung cấp hiện đã có sẵn hoặc đang được backport:
  • Red Hat đã phát hành các thông báo (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux đã công bố CVE với mức ảnh hưởng "Important"
  • Bản vá hạ nguồn (upstream) đã được hợp nhất vào ngày 16 tháng 7 năm 2026
• Bản vá lấy mẫu lại ánh xạ data fork bằng cách truy vấn nó khi bộ đếm trình tự thay đổi qua chu kỳ ILOCK .
• Không có giải pháp thay thế hiệu quả. Không có biện pháp giảm thiểu có ý nghĩa nào ngoài việc nâng cấp kernel — lỗ hổng không yêu cầu cấu hình không mặc định và vượt qua được SELinux . Giải pháp thay thế một phần duy nhất là hạn chế quyền truy cập ghi direct-I/O vào các hệ thống tệp XFS trên các hệ thống bị ảnh hưởng cho đến khi hoàn tất việc vá .