CVE-2026-64600 – Strumento di Rilevamento e Mitigazione RefluXFS

Questo repository fornisce un'utilità C completa per rilevare, verificare in sicurezza e mitigare la vulnerabilità RefluXFS (CVE‑2026‑64600) su sistemi Linux con filesystem XFS. Lo strumento verifica la presenza di un kernel vulnerabile, identifica i mount XFS con reflink abilitato, tenta opzionalmente un trigger di race condition sicuro e implementa una mitigazione a due livelli (sonda SystemTap + rimount con reflink=0) quando necessario.

⚠️ Disclaimer: Questo strumento è destinato esclusivamente a valutazioni di sicurezza autorizzate e hardening del sistema. Usalo solo su sistemi di tua proprietà o per cui hai esplicita autorizzazione a testare. Gli autori non si assumono alcuna responsabilità per un uso improprio.

CVE-2026-64600 Logo

🔥 Panoramica della Vulnerabilità

CVE-2026-64600 (RefluXFS) è una race condition ad alta severità nel filesystem XFS del kernel Linux, in particolare nel percorso copy‑on‑write (CoW) per i file reflinkati (introdotto nel kernel 4.11). Un attaccante locale non privilegiato può corrompere o sovrascrivere file arbitrari sullo stesso volume XFS mettendo in competizione scritture O_DIRECT concorrenti su un clone reflink contro un file protetto. La corruzione avviene a livello di block layer, sopravvive ai riavvii e non lascia tracce nei log del kernel.

Kernel interessati: Linux 4.11 fino alle versioni corrette:

6.12.96+
6.18.39+
7.1.4+
7.2‑rc4+

Impatto: escalation locale dei privilegi a root, corruzione persistente dei dati, sovrascrittura silenziosa di binari setuid o file sensibili.

Questo strumento implementa:

Rilevamento della versione del kernel (rispetto ai limiti corretti).
Rilevamento dei mount XFS con reflink (controlla /proc/mounts).
Verifica sicura della race condition (PoC non distruttivo che crea file temporanei e tenta di innescare la race).
Mitigazione a livelli (quando si usa -m fix):
1. Sonda SystemTap – intercetta le syscall FICLONE e copy_file_range su XFS, restituendo -EOPNOTSUPP.
2. Hardening tramite rimount – tenta di rimontare i volumi XFS con reflink=0 (difesa in profondità).
Avviso interattivo di remediation del kernel – richiede la versione corretta e i comandi di aggiornamento specifici per la distribuzione.
Esecuzione di comandi personalizzati (-c) – esegue comandi arbitrari (es. id) solo se il sistema è vulnerabile.

✨ Caratteristiche

Rilevamento senza root – controlla la versione del kernel e lo stato del reflink XFS senza privilegi elevati.
Verifica sicura – test opzionale non distruttivo per innescare la race (-m exploit).
Mitigazione a livelli – implementa la sonda SystemTap e rimonta XFS con reflink=0 (-m fix, richiede root).
--dry-run – anteprima delle azioni di mitigazione senza applicarle.
--force – forza l'implementazione della mitigazione anche se le condizioni non sono soddisfatte (laboratorio/demo).
Avviso interattivo – quando è vulnerabile, richiede di mostrare la versione corretta e i comandi di aggiornamento.
Output dettagliato (verbose) (-v) per informazioni di parsing dettagliate.
Comando personalizzato (-c) – esegue un comando solo se il sistema è vulnerabile (predefinito: id).
Output professionale e codificato a colori – messaggi di stato e verdetti chiari.

📦 Compilazione e Installazione

git clone https://github.com/Debajyoti0-0/CVE-2026-64600.git
cd cve-2026-64600
gcc -o cve-2026-64600 cve-2026-64600.c -lm -lpthread

Prerequisiti:

Sistema Linux con kernel 4.11 o successivo (o precedente per il solo rilevamento).
Per la mitigazione (-m fix):
- privilegi di root (richiesti per rimount e sonda stap).
- SystemTap installato (comando stap) – opzionale, ma consigliato per una mitigazione completa.
- Filesystem XFS con reflink abilitato (affinché la vulnerabilità sia sfruttabile).

Opzionale: Se SystemTap non è disponibile, lo strumento ripiegherà sul solo hardening tramite rimount (se supportato dalla versione di XFS).

🚀 Utilizzo

Target singolo – solo rilevamento

./cve-2026-64600

Rilevamento con output dettagliato

./cve-2026-64600 -v

Controlla un percorso specifico per il reflink XFS

./cve-2026-64600 -p /mnt/data

Verifica sicura della race condition (PoC)

./cve-2026-64600 -m exploit

Modalità automatica – controllo + verifica se vulnerabile

./cve-2026-64600 -m auto

Applica la mitigazione (richiede root)

sudo ./cve-2026-64600 -m fix

Anteprima delle azioni di mitigazione senza applicarle

sudo ./cve-2026-64600 -m fix --dry-run

Forza la mitigazione anche se le condizioni non sono soddisfatte (solo laboratorio)

sudo ./cve-2026-64600 -m fix --force

Esegui un comando personalizzato quando il sistema è vulnerabile (es. mostra l'utente corrente)

./cve-2026-64600 -c "whoami"

Esegui un comando personalizzato con output dettagliato

./cve-2026-64600 -v -c "id"

⚙️ Riferimento Flag

Opzione	Descrizione
`-h, --help`	Mostra il messaggio di aiuto ed esce.
`-v, --verbose`	Output dettagliato (mostra i dettagli della versione del kernel analizzata).
`-p <path>`	Controlla lo stato del reflink XFS su un punto di mount specifico.
`-m, --mode <mode>`	Modalità operativa: `check` (predefinita), `exploit`, `auto`, `fix`.
`-c, --cmd <command>`	Esegue un comando personalizzato solo se il sistema è vulnerabile (predefinito: `id`).
`--dry-run`	Anteprima delle azioni di mitigazione (con `-m fix`) senza applicarle.
`--force`	Forza l'implementazione della mitigazione anche se le condizioni non sono soddisfatte (laboratorio/demo).

Modalità in dettaglio

Modalità	Descrizione
`check`	Rilevamento passivo – riporta versione del kernel, stato del reflink XFS ed euristica della distribuzione. Nessuna azione intrapresa.
`exploit`	Esegue la verifica sicura della race condition (PoC) anche se il sistema è vulnerabile. Non applica la mitigazione.
`auto`	Se il sistema è vulnerabile, esegue la verifica sicura della race condition; altrimenti esegue solo il controllo.
`fix`	Applica la mitigazione a livelli (richiede root). Implementa la sonda SystemTap e tenta di rimontare XFS con `reflink=0`. Si applica solo se il kernel è vulnerabile e il reflink XFS è abilitato (a meno che non si usi `--force`).

📝 Esempi di Output

Rilevamento su un sistema non vulnerabile (nessun reflink XFS)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    5.15.0-91-generic
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         NO
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) NO

CVE-2026-64600

Più Popolari

Informazioni