CVE-2026-64600 – RefluXFS-Erkennungs- und Schadensbegrenzungs-Tool

Dieses Repository enthält ein umfassendes C-Dienstprogramm zum Erkennen, sicheren Verifizieren und Entschärfen der RefluXFS-Schwachstelle (CVE‑2026‑64600) auf Linux-Systemen mit dem XFS-Dateisystem. Das Tool prüft, ob ein anfälliger Kernel vorliegt, identifiziert XFS-Mounts mit aktiviertem Reflink, versucht optional einen sicheren Race-Trigger auszulösen und setzt bei Bedarf eine zweischichtige Schadensbegrenzung ein (SystemTap-Probe + Remount mit reflink=0).

⚠️ Haftungsausschluss: Dieses Tool ist ausschließlich für autorisierte Sicherheitsbewertungen und Systemhärtung bestimmt. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie ausdrücklich die Erlaubnis zum Testen haben. Die Autoren übernehmen keine Haftung für Missbrauch.

🔥 Überblick über die Schwachstelle

CVE-2026-64600 (RefluXFS) ist eine Race-Condition mit hohem Schweregrad im XFS-Dateisystem des Linux-Kernels, genauer gesagt im Copy-on-Write-Pfad (CoW) für Reflink-Dateien (eingeführt in Kernel 4.11). Ein unprivilegierter lokaler Angreifer kann beliebige Dateien auf demselben XFS-Volume beschädigen oder überschreiben, indem er parallele O_DIRECT-Schreibvorgänge auf einen Reflink-Klon gegen eine geschützte Datei antreten lässt. Die Beschädigung erfolgt auf Blockebene, übersteht Neustarts und hinterlässt keine Spuren in den Kernel-Protokollen.

Betroffene Kernel: Linux 4.11 bis zu den behobenen Versionen:

• 6.12.96+
• 6.18.39+
• 7.1.4+
• 7.2‑rc4+

Auswirkungen: Lokale Rechteausweitung zu Root, dauerhafte Datenbeschädigung, stilles Überschreiben von Setuid-Binärdateien oder sensiblen Dateien.

Dieses Tool implementiert:

• Kernel-Versionserkennung (anhand der behobenen Grenzen).
• Erkennung von XFS-Reflink-Mounts (prüft /proc/mounts).
• Sichere Race-Verifizierung (nicht-destruktiver PoC, der temporäre Dateien erstellt und versucht, die Race-Bedingung auszulösen).
• Mehrschichtige Schadensbegrenzung (wenn -m fix verwendet wird):
  1. SystemTap-Probe – fängt FICLONE- und copy_file_range-Syscalls auf XFS ab und gibt -EOPNOTSUPP zurück.
  2. Remount-Härtung – versucht, XFS-Volumes mit reflink=0 neu zu mounten (Defense in Depth).
• Interaktiver Kernel-Behebungs-Hinweis – fragt nach der gepatchten Version und distributionsspezifischen Upgrade-Befehlen.
• Ausführung benutzerdefinierter Befehle (-c) – führt beliebige Befehle (z. B. id) nur aus, wenn das System anfällig ist.

✨ Funktionen

• Erkennung ohne Root – prüft Kernel-Version und XFS-Reflink-Status ohne erhöhte Rechte.
• Sichere Verifizierung – optionaler nicht-destruktiver Race-Trigger-Test (-m exploit).
• Mehrschichtige Schadensbegrenzung – setzt SystemTap-Probe ein und mountet XFS mit reflink=0 neu (-m fix, erfordert Root).
• --dry-run – Mitigationsmaßnahmen anzeigen, ohne sie anzuwenden.
• --force – Mitigation auch dann erzwingen, wenn die Bedingungen nicht erfüllt sind (Labor/Demo).
• Interaktiver Hinweis – fragt bei Anfälligkeit, ob die gepatchte Version und Upgrade-Befehle angezeigt werden sollen.
• Ausführliche Ausgabe (-v) für detaillierte Parsing-Informationen.
• Benutzerdefinierter Befehl (-c) – führt einen Befehl nur aus, wenn das System anfällig ist (Standard: id).
• Professionelle, farbcodierte Ausgabe – klare Statusmeldungen und Bewertungen.

📦 Kompilierung & Installation

git clone https://github.com/Debajyoti0-0/CVE-2026-64600.git
cd cve-2026-64600
gcc -o cve-2026-64600 cve-2026-64600.c -lm -lpthread

Voraussetzungen:

• Linux-System mit Kernel 4.11 oder neuer (oder älter für die Erkennung).
• Für die Schadensbegrenzung (-m fix):
  • Root-Rechte (erforderlich für Remount und Stap-Probe).
  • SystemTap installiert (stap-Befehl) – optional, aber für vollständige Schadensbegrenzung empfohlen.
  • XFS-Dateisystem mit aktiviertem Reflink (damit die Schwachstelle ausnutzbar ist).

Optional: Wenn SystemTap nicht verfügbar ist, verwendet das Tool nur die Remount-Härtung als Fallback (sofern von der XFS-Version unterstützt).

🚀 Verwendung

Einzelnes Ziel – nur Erkennung

./cve-2026-64600

Erkennung mit ausführlicher Ausgabe

./cve-2026-64600 -v

Bestimmten Pfad auf XFS-Reflink prüfen

./cve-2026-64600 -p /mnt/data

Sichere Race-Verifizierung (PoC)

./cve-2026-64600 -m exploit

Auto-Modus – prüfen und bei Anfälligkeit verifizieren

./cve-2026-64600 -m auto

Schadensbegrenzung anwenden (erfordert Root)

sudo ./cve-2026-64600 -m fix

Mitigationsmaßnahmen ohne Anwendung anzeigen

sudo ./cve-2026-64600 -m fix --dry-run

Schadensbegrenzung auch bei nicht erfüllten Bedingungen erzwingen (nur Labor)

sudo ./cve-2026-64600 -m fix --force

Benutzerdefinierten Befehl bei Anfälligkeit ausführen (z. B. aktuellen Benutzer anzeigen)

./cve-2026-64600 -c "whoami"

Benutzerdefinierten Befehl mit ausführlicher Ausgabe ausführen

./cve-2026-64600 -v -c "id"

⚙️ Referenz der Optionen

Modi im Detail

📝 Beispielausgaben

Erkennung auf einem nicht anfälligen System (kein XFS-Reflink)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    5.15.0-91-generic
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         NO
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) NO

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ SAFE: kernel not vulnerable and no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 5.15.0-91-generic (not vulnerable)
  XFS reflink: not detected
  System appears secure against CVE-2026-64600
  ────────────────────────────────────────────────────────────────────

Erkennung auf einem System mit anfälligem Kernel, aber ohne XFS-Reflink (teilweises Risiko)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) YES

  A vulnerable kernel was detected. Show remediation advisory? [y/n]: n

  ────────────────────────────────────────────────────────────────────
  FINAL VERDICT
  ────────────────────────────────────────────────────────────────────
┌──────────────────────────────────────────────────────────────────────┐
│ PARTIAL: vulnerable kernel, but no XFS reflink found                 │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: not detected
  Recommendation: still consider kernel update as precaution
  ────────────────────────────────────────────────────────────────────

Vollständige Schadensbegrenzung auf einem bestätigt anfälligen System

$ sudo ./cve-2026-64600 -m fix

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: fix                                │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    6.12.0-rc2
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         YES
  XFS Reflink (any mount)   ENABLED
  Distribution Affected (heuristic) YES

--- Mitigation Deployment ---
  Layer 2/2: mount-level hardening (remount reflink=0)
  Remounted /mnt/xfs with reflink=0

  Layer 1/2: syscall-level block (SystemTap probe)
  Status                    DEPLOYED (SystemTap)
  Log:  /var/log/refluxfs-block.log
  Stop: sudo pkill -f 'stap.*refluxfs-block'
  Verify: cp --reflink=always /etc/passwd /tmp/test 2>&1 | grep -q 'Operation not supported'

  Status                    MITIGATION ACTIVE (both layers)

--- FINAL VERDICT ---
┌──────────────────────────────────────────────────────────────────────┐
│ CONFIRMED VULNERABLE (race triggered)                                │
└──────────────────────────────────────────────────────────────────────┘
  Kernel: 6.12.0-rc2 (vulnerable)
  XFS reflink: enabled
  Distribution: affected

🛠️ Aufbau einer anfälligen Testumgebung

Um dieses Tool in einer sicheren Umgebung zu testen, können Sie eine Linux-VM mit einer XFS-Partition einrichten, die mit reflink=1 erstellt wurde. Zum Beispiel:

# Create a loop device with an XFS filesystem (reflink enabled)
dd if=/dev/zero of=/tmp/xfs.img bs=1M count=1024
mkfs.xfs -m reflink=1 /tmp/xfs.img
sudo mount -o loop /tmp/xfs.img /mnt/xfs

Führen Sie dann das Tool auf dem gemounteten Pfad (-p /mnt/xfs) aus, um Erkennung und Schadensbegrenzung zu testen.

🔗 Referenzen

• NIST NVD – CVE-2026-64600
• Linux kernel upstream commit 2f4acd0fcd86
• XFS-Reflink-Dokumentation
• CWE-367: Time-of-check Time-of-use (TOCTOU)-Race-Condition

📜 Lizenz

Dieses Projekt ist unter der GNU General Public License v3.0 lizenziert – Einzelheiten finden Sie in der Datei LICENSE.

🤝 Mitwirken

Issues und Pull Requests sind willkommen. Bitte stellen Sie sicher, dass Ihre Beiträge die gleiche Funktionalität beibehalten und die ethischen Nutzungsrichtlinien einhalten.

Denken Sie daran: Holen Sie vor dem Testen eines Sicherheitswerkzeugs immer die entsprechende Genehmigung ein. Bleiben Sie ethisch und verantwortungsvoll.