CVE-2026-64600 – أداة كشف وتخفيف RefluXFS

يوفّر هذا المستودع أداة شاملة بلغة C تهدف إلى كشف والتحقق الآمن وتخفيف ثغرة RefluXFS (CVE‑2026‑64600) على أنظمة Linux التي تعمل بنظام ملفات XFS. تتحقق الأداة من وجود نواة قابلة للاستغلال، وتحدد نقاط تحميل XFS المفعلة لدعم reflink، وتحاول اختياريًا إثارة السباق بطريقة آمنة، وتنشر تخفيفًا من طبقتين (مسبار SystemTap + إعادة تحميل مع reflink=0) عند الحاجة.

⚠️ إخلاء مسؤولية: هذه الأداة مخصصة لتقييم الأمان المصرح به وتحصين الأنظمة فقط. استخدمها فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها. لا يتحمل المؤلفون أي مسؤولية عن إساءة الاستخدام.

CVE-2026-64600 Logo

🔥 نظرة عامة على الثغرة

CVE-2026-64600 (RefluXFS) هي حالة سباق عالية الخطورة في نظام ملفات XFS الخاص بنواة Linux، وتحديدًا في مسار النسخ عند الكتابة (CoW) للملفات المعاد ربطها (reflinked files) (المقدمة في النواة 4.11). يمكن لمهاجم محلي غير مميز إتلاف أو الكتابة فوق ملفات عشوائية على نفس وحدة تخزين XFS عن طريق استباق عمليات كتابة O_DIRECT المتزامنة على نسخة reflink مقابل ملف محمي. يحدث التلف في طبقة الكتل، ويبقى بعد إعادة التشغيل، ولا يترك أي أثر في سجلات النواة.

النواة المتأثرة: Linux 4.11 حتى الإصدارات المُصلحة:

6.12.96+
6.18.39+
7.1.4+
7.2‑rc4+

التأثير: تصعيد صلاحيات محلي إلى root، تلف دائم للبيانات، كتابة فوق صامتة لملفات setuid أو ملفات حساسة.

تنفّذ هذه الأداة ما يلي:

كشف إصدار النواة (مقابل الحدود المُصلحة).
كشف تحميل XFS مع reflink (عبر فحص /proc/mounts).
تحقق آمن من السباق (إثبات مفهوم غير مدمر ينشئ ملفات مؤقتة ويحاول إثارة السباق).
تخفيف متعدد الطبقات (عند استخدام -m fix):
1. مسبار SystemTap – يعترض استدعاءات FICLONE و copy_file_range على XFS ويعيد -EOPNOTSUPP.
2. تقوية إعادة التحميل – يحاول إعادة تحميل وحدات تخزين XFS مع reflink=0 (دفاع متعمق).
توصية تفاعلية لمعالجة النواة – تطلب الإصدار المُصلح وأوامر الترقية الخاصة بالتوزيعة.
تنفيذ أوامر مخصصة (-c) – لتشغيل أوامر عشوائية (مثل id) فقط إذا كان النظام عرضة للثغرة.

✨ الميزات

كشف بدون صلاحيات root – يتحقق من إصدار النواة وحالة reflink في XFS دون امتيازات مرتفعة.
تحقق آمن – اختبار اختياري غير مدمر لإثارة السباق (-m exploit).
تخفيف متعدد الطبقات – ينشر مسبار SystemTap ويعيد تحميل XFS مع reflink=0 (-m fix، يتطلب صلاحيات root).
--dry-run – معاينة إجراءات التخفيف دون تطبيقها.
--force – فرض نشر التخفيف حتى لو لم تتوفر الشروط (للمختبر/العرض التجريبي).
توصية تفاعلية – عند وجود ثغرة، تطالب بعرض الإصدار المُصلح وأوامر الترقية.
مخرجات مفصلة (-v) للحصول على معلومات تحليل دقيقة.
أمر مخصص (-c) – تنفيذ أمر فقط إذا كان النظام عرضة للثغرة (الافتراضي: id).
مخرجات احترافية ملونة – رسائل حالة وحكم نهائي واضحة.

📦 الترجمة والتثبيت

git clone https://github.com/Debajyoti0-0/CVE-2026-64600.git
cd cve-2026-64600
gcc -o cve-2026-64600 cve-2026-64600.c -lm -lpthread

المتطلبات الأساسية:

نظام Linux بنواة 4.11 أو أحدث (أو أقدم لأغراض الكشف).
للتخفيف (-m fix):
- صلاحيات root (مطلوبة لإعادة التحميل ومسبار stap).
- تثبيت SystemTap (أمر stap) – اختياري، لكن يُنصح به للتخفيف الكامل.
- نظام ملفات XFS مع تفعيل reflink (لكي تكون الثغرة قابلة للاستغلال).

اختياري: إذا لم يتوفر SystemTap، ستكتفي الأداة بتقوية إعادة التحميل فقط (إذا كان إصدار XFS يدعم ذلك).

🚀 الاستخدام

هدف واحد – كشف فقط

./cve-2026-64600

كشف مع مخرجات مفصلة

./cve-2026-64600 -v

فحص مسار محدد للتأكد من reflink في XFS

./cve-2026-64600 -p /mnt/data

تحقق آمن من السباق (إثبات مفهوم)

./cve-2026-64600 -m exploit

الوضع التلقائي – فحص + تحقق في حال وجود ثغرة

./cve-2026-64600 -m auto

تطبيق التخفيف (يتطلب root)

sudo ./cve-2026-64600 -m fix

معاينة إجراءات التخفيف دون تطبيق

sudo ./cve-2026-64600 -m fix --dry-run

فرض التخفيف حتى لو لم تتوفر الشروط (للمختبر فقط)

sudo ./cve-2026-64600 -m fix --force

تنفيذ أمر مخصص عند وجود ثغرة (مثل: إظهار المستخدم الحالي)

./cve-2026-64600 -c "whoami"

تنفيذ أمر مخصص مع مخرجات مفصلة

./cve-2026-64600 -v -c "id"

⚙️ مرجع الخيارات

الأوضاع بالتفصيل

📝 أمثلة على المخرجات

الكشف على نظام غير عرضة للثغرة (بدون reflink في XFS)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    5.15.0-91-generic
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         NO
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) NO

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ SAFE: kernel not vulnerable and no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 5.15.0-91-generic (not vulnerable)
  XFS reflink: not detected
  System appears secure against CVE-2026-64600
  ────────────────────────────────────────────────────────────────────

الكشف على نظام بنواة عرضة للثغرة ولكن بدون reflink في XFS (خطر جزئي)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) YES

  A vulnerable kernel was detected. Show remediation advisory? [y/n]: n

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ PARTIAL: vulnerable kernel, but no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: not detected
  Recommendation: still consider kernel update as precaution
  ────────────────────────────────────────────────────────────────────

التخفيف الكامل على نظام مؤكد تعرضه للثغرة

$ sudo ./cve-2026-64600 -m fix

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: fix                                │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   ENABLED
  Distribution Affected (heuristic) YES

--- Mitigation Deployment ---
  Layer 2/2: mount-level hardening (remount reflink=0)
  Remounted /mnt/xfs with reflink=0

  Layer 1/2: syscall-level block (SystemTap probe)
  Status                    DEPLOYED (SystemTap)
  Log:  /var/log/refluxfs-block.log
  Stop: sudo pkill -f 'stap.*refluxfs-block'
  Verify: cp --reflink=always /etc/passwd /tmp/test 2>&1 | grep -q 'Operation not supported'

  Status                    MITIGATION ACTIVE (both layers)

--- FINAL VERDICT ---
┌──────────────────────────────────────────────────────────────────────┐
│ CONFIRMED VULNERABLE (race triggered)                                │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: enabled
  Distribution: affected

🛠️ بناء بيئة اختبار عرضة للثغرة

لاختبار هذه الأداة في بيئة آمنة، يمكنك إعداد جهاز افتراضي بنظام Linux مع قسم XFS تم إنشاؤه باستخدام reflink=1. على سبيل المثال:

# Create a loop device with an XFS filesystem (reflink enabled)
dd if=/dev/zero of=/tmp/xfs.img bs=1M count=1024
mkfs.xfs -m reflink=1 /tmp/xfs.img
sudo mount -o loop /tmp/xfs.img /mnt/xfs

ثم شغّل الأداة على المسار المُحمَّل (-p /mnt/xfs) لاختبار الكشف والتخفيف.

🔗 المراجع

📜 الترخيص

هذا المشروع مرخّص بموجب رخصة GNU العمومية العامة الإصدار 3.0 – راجع ملف LICENSE للحصول على التفاصيل.

🤝 المساهمة

نرحب بملفات المشكلات (issues) وطلبات السحب (pull requests). يرجى التأكد من أن مساهماتك تحافظ على نفس الوظيفة وتلتزم بإرشادات الاستخدام الأخلاقي.

تذكّر: احصل دائمًا على إذن مناسب قبل اختبار أي أداة أمنية. كن أخلاقيًا ومسؤولًا.

`-h, --help`	إظهار رسالة المساعدة والخروج.
`-v, --verbose`	مخرجات مفصلة (إظهار تفاصيل إصدار النواة المُحلَّل).
`-p <path>`	التحقق من حالة reflink في XFS على نقطة تحميل محددة.
`-m, --mode <mode>`	وضع التشغيل: `check` (الافتراضي)، `exploit`، `auto`، `fix`.
`-c, --cmd <command>`	تنفيذ أمر مخصص فقط إذا كان النظام عرضة للثغرة (الافتراضي: `id`).
`--dry-run`	معاينة إجراءات التخفيف (مع `-m fix`) دون تطبيقها.
`--force`	فرض نشر التخفيف حتى لو لم تتوفر الشروط (للمختبر/العرض التجريبي).

`check`	كشف سلبي – يُبلغ عن إصدار النواة وحالة reflink في XFS وتقدير التوزيعة. لا يتخذ أي إجراءات.
`exploit`	يشغّل التحقق الآمن من السباق (إثبات المفهوم) حتى لو كان النظام غير عرضة للثغرة. لا يطبّق التخفيف.
`auto`	إذا كان النظام عرضة للثغرة، يشغّل التحقق الآمن من السباق؛ وإلا يكتفي بالفحص.
`fix`	يطبّق التخفيف متعدد الطبقات (يتطلب root). ينشر مسبار SystemTap ويحاول إعادة تحميل XFS مع `reflink=0`. يُطبَّق فقط إذا كانت النواة عرضة و reflink في XFS مفعّل (ما لم يُستخدم `--force`).

CVE-2026-64600

الأكثر شعبية

حول