RefluXFSnouveau Bogue du noyau Linux Le 22 juillet révélé et suivi CVE-2026-64600Permet à un utilisateur local non privilégié d’écraser les fichiers appartenant à root sur le système de fichiers XFS et d’obtenir un accès root permanent.
Qualys affirme que les installations par défaut de Red Hat Enterprise Linux et de ses dérivés, Fedora Server et Amazon Linux peuvent satisfaire aux conditions d’utilisation.
L’entreprise a fait preuve de résistance /etc/passwd et les binaires setuid-root. L’écrasement atterrira sur la couche de bloc. Le binaire setuid-root modifié s’exécute en tant que root car il survit aux redémarrages et la propriété, les autorisations, les horodatages et les bits setuid du périphérique cible ne sont pas affectés.
Ce correctif a été fusionné le 16 juillet et les fournisseurs Linux ont commencé à livrer des noyaux rétroportés. Ce correctif corrige un bug de Linux 4.11 en 2017 : un Fixes: rôles de dénomination des balises 3c68d44a2b49 et demande de backport stable notée # v4.11.
Qui a révélé
Trois conditions sont requises pour son utilisation :
- Le système exécute Linux 4.11 ou supérieur sans le correctif RefluXFS.
- Le système de fichiers XFS est créé
reflink=1. - Le répertoire lisible de la cible et le répertoire accessible en écriture de l’attaquant se trouvent sur le même système de fichiers XFS.
Qualys dit Corrigez d’abord les systèmes exposés et multi-locataires. Il s’agit de tout hôte XFS compatible avec la reconnexion qui peut exécuter du code non sécurisé en interne via un shell, une tâche CI ou un service compromis.
La recommandation répertorie les installations par défaut qui peuvent remplir ces conditions : Red Hat Enterprise Linux, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux et CloudLinux 8, 9 et 10, Fedora Server 31 et versions ultérieures, Amazon Linux 2023 et Amazon Linux 2 à partir de décembre 2022. Les systèmes de fichiers RHEL 7 prennent en charge la réassociation XFS, ils ne sont donc pas affectés.
Debian, Ubuntu, SLES et openSUSE n’utilisent généralement pas XFS comme système de fichiers principal. Ils ne sont exposés que si l’administrateur sélectionne XFS avec la reconnexion activée lors de l’installation.
Vérifiez le système de fichiers racine :
xfs_info / | grep reflink=
reflink=1 signifie que la deuxième condition est satisfaite. Effectuez la même vérification sur d’autres volumes XFS montés sur lesquels le fichier protégé et le répertoire accessible en écriture de l’attaquant partagent le système de fichiers.
Ancienne carte
Un attaquant clone un fichier appartenant à root en tant que fichier de travail FICLONEseulement besoin d’un accès en lecture sur la source, puis de courses parallèles O_DIRECT écrit contre les clones. Étant donné que la reconnexion XFS utilise la méthode de copie en écriture, les deux fichiers font référence aux mêmes blocs de disque physique.
Le noyau lit le mappage de data-fork sous le verrou inode et le transmet xfs_reflink_fill_cow_hole()cycles de verrouillage pour réserver de l’espace de transaction.
Un deuxième rédacteur peut effectuer une opération de copie sur écriture pendant ce délai et remapper le fichier copié vers un nouveau bloc. Lorsque le premier rédacteur réacquiert le verrou, il restaure le fork de copie sur écriture, mais continue d’utiliser l’ancien mappage de fork de données.
Le pièce supérieure explique clairement l’échec : “Dès que nous réacquérons l’ILOCK, la cartographie est obsolète.”
Cette adresse obsolète pointe uniquement vers le bloc appartenant au fichier protégé d’origine. XFS traite les blocs comme non partagés et autorise les écritures directes, de sorte que les données destinées au clone d’un attaquant atterrissent sur la cible.
Il s’agit d’une erreur de vérification puis d’utilisation tout au long du cycle de verrouillage. La requête de statut partagé elle-même est correcte ; Ce qu’il demande, c’est l’adresse de bloc obtenue avant que le verrou ne soit libéré.
Hacker News a découvert que le patch atteint deux assistants. xfs_reflink_fill_cow_hole() et xfs_reflink_fill_delalloc(). Le second a le même modèle de cycle de verrouillage et n’est pas visible dans les astuces Qualys. Modification des instantanés pour les deux ip->i_df.if_seq la fourchette de données est relue avant que le verrou ne soit abandonné xfs_bmapi_read() si le compteur est déplacé.
Les E/S directes contournent le cache des pages et il n’y a pas de hooks de revalidation, donc les écritures vont sur le disque. Parce qu’il contourne entièrement l’inode cible, les métadonnées ne sont jamais modifiées et les chercheurs affirment que le test n’a produit aucun avertissement du noyau ni aucune entrée de journal.
Les courses se gagnent généralement en moins de dix secondes sur une voiture d’essai. La démo publiée supprime le mot de passe par défaut sur une boîte RHEL 10.2 par défaut.
Qualys affirme qu’un modèle d’intelligence artificielle a découvert le bug. L’entreprise a souligné Extrait de Claude MythosModèle de limite d’accès anthropique limité, au cœur et, en conséquence fournir des conseils techniquesOn lui a demandé de trouver une vulnérabilité similaire à ” Sale vache“.
J’ai localisé la race modèle, écrit un exploit racine fonctionnel et rédigé l’avis. Les chercheurs l’ont ensuite répliqué sur une installation Fedora Server 44, vérifiant la validité du modèle et ajustant la transparence au maximum.
Ce n’est pas la première erreur nucléaire de l’équipe cette année. Qualys en a trouvé un grand nombre. Cela a été révélé il y a un jour Erreur inattendue sur Ubuntu Desktop, CVE-2026-8933où les deux races permettent à l’utilisateur local de rooter sur l’installation par défaut. Trouvé en mai bug vieux de neuf ans dans les vérifications ptrace du noyau.
Effectuer les réparations puis redémarrer
Chapeau rouge a émis des avis de noyau critiques sur les threads RHEL 8, 9 et 10 concernés. Le bug a commencé à apparaître le 14 juillet, huit jours avant de signaler RHSA-2026:39179 et RHSA-2026:39179 et RHSA-2026:39180 pour RHEL 8 avec un support étendu jusqu’à fin juillet et RHSA-2026:39494 pour RHEL 10.
La couverture est destinée au streaming, alors assurez-vous d’avoir un pourboire pour votre sortie exacte. Toute personne ayant implémenté ces bogues dans les délais prévus a été couverte avant que RefluXFS ne soit nommé. Avant d’assumer une exposition, vérifiez votre date de couverture.
Du vendeur contrôleur d’erreur placez l’erreur dans un fichier intitulé “noyau : corruption des données XFS à l’aide de reflink”. Cette entrée a été importée automatiquement le 10 juillet et le problème a été identifié comme une possible corruption de données en reconnectant d’abord le fichier.
Au 23 juillet traqueur Debian Le correctif dans trixie-security est répertorié comme principal 6.12.96-1 et de manière instable 7.1.4-1. Le noyau principal de Trixie 6.12.94-1 et une fourchette 7.1.3-1 Les rats de bibliothèque, les cibles et le secteur de la sécurité sont restés vulnérables.
Il n’y a pas d’option de montage ni de sysctl pour désactiver la reconnexion XFS après la création du système de fichiers, et Qualys indique qu’il n’y a pas de minimisation pratique ni de changement de configuration temporaire. SELinux en mode Enforcing, seccomp, le verrouillage du noyau et les limites des conteneurs n’ont pas réussi à l’arrêter lors des tests de l’entreprise. La protection de la mémoire comme KASLR et SMEP n’a jamais été implémentée : il s’agit d’une écriture de couche de blocs, pas d’une corruption de la mémoire.
Une limite apparente n’en est pas une. La course ne démarrera que si le bloc cible n’est pas partagé, donc un fichier copié par un administrateur avec un nouveau lien ne peut pas être remplacé. L’avis indique que cette condition peut être réinitialisée en exécutant un utilisateur non privilégié chshet il est peu probable que les binaires setuid-root aient été réédités à partir de zéro.
Qualys ne publie pas de code d’exploitation autonome. Un tracker Red Hat a publié une preuve de concept publique le 22 juillet, soulignant les recommandations publiées dans une liste de sécurité qui couvre entièrement les étapes de course et d’exploitation. Aucun des fournisseurs qui suivent le défaut n’a signalé d’exploits dans la nature au moment de la rédaction de cet article.
Hacker News a contacté Red Hat pour commenter son évaluation de l’impact du bug, et Qualys pour plus de détails sur la découverte, et mettra à jour cette histoire s’ils ont une réponse.
L’installation d’un package ne remplace pas un noyau déjà exécuté en mémoire. Appliquez la mise à jour du fabricant, redémarrez le système et vérifiez si le noyau corrigé fonctionne.