RefluXFS Linux 核心漏洞 CVE-2026-64600 深度解析

漏洞運作原理

• 漏洞的根源是 競爭條件，存在於 xfs_reflink_fill_cow_hole 和 xfs_reflink_fill_delalloc 這兩個核心輔助函式中 。這些函式為了獲取交易，會循環使用 XFS inode lock (ILOCK)，這個過程會導致資料分支和 CoW 分支的映射資訊過時 。
• 雖然 CoW 分支的映射會透過 xfs_find_trim_cow_extent 更新，但在下一次寫入發生前，資料分支的映射「不會」被重新整理 。這使得並行寫入可以繞過寫入時複製機制，直接修改攻擊者原本無權寫入的共享資料區塊 。
• 擁有本地未授權帳號的攻擊者可以利用此漏洞覆寫任何他們有權限讀取的檔案——包括受保護的系統檔案，如 /etc/passwd、/etc/shadow 或 SSH 的 authorized_keys——即使在啟用 SELinux Enforcing 模式的系統上也能成功 。
• 對磁碟的修改在系統重新開機後依然存在 。

受影響的系統

• 核心版本： 此漏洞自 Linux 核心 4.11（2017 年 2 月）起，由提交 3c68d44a2b49 引入，影響之後的所有主線與穩定核心版本 。
• 檔案系統要求： 目標 XFS 檔案系統必須啟用 reflink 功能。自 2019 年起，mkfs.xfs 預設即啟用 reflink，這意味著大多數現代的 XFS 磁碟區都受到影響 。
• 無特殊條件要求： 不需要特殊的核心模組、sysctl 設定、能力（capability）或非預設配置 。
• 已確認受影響的發行版（根據 Qualys 和 CERT-EU）：
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8、9、10
• 預估影響範圍： 超過 1,640 萬台系統 曝露於風險中 。

修補與緩解措施

• 立即更新核心是首要解決方案。 各家廠商已經或正在提供修補後的核心版本：
  • Red Hat 已發布安全公告 (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux 已將此 CVE 標示為「重要」風險
  • 上游核心的修補程式已於 2026 年 7 月 16 日 合併
• 修補程式的作法是：當序列計數器在 ILOCK 循環期間發生變化時，重新查詢並取樣資料分支的映射 。
• 沒有有效的緩解措施。 除了升級核心之外，目前沒有其他有意義的解決方案——此漏洞無需任何非預設配置即可觸發，且能繞過 SELinux 。唯一的局部替代方案是在完成修補前，限制受影響系統上對 XFS 檔案系統的直接 I/O (direct-I/O) 寫入權限 。