CVE-2026-64600 – Ferramenta de Detecção e Mitigação RefluXFS

Este repositório fornece um utilitário C abrangente para detectar, verificar com segurança e mitigar a vulnerabilidade RefluXFS (CVE‑2026‑64600) em sistemas Linux que utilizam o sistema de arquivos XFS. A ferramenta verifica se o kernel é vulnerável, identifica montagens XFS com reflink habilitado, opcionalmente tenta disparar a condição de corrida com segurança e implanta uma mitigação em duas camadas (sonda SystemTap + remontagem com reflink=0) quando necessário.

⚠️ Aviso legal: Esta ferramenta destina-se apenas a avaliação de segurança autorizada e endurecimento de sistemas. Utilize-a somente em sistemas que você possui ou para os quais tenha permissão explícita para testar. Os autores não assumem qualquer responsabilidade por uso indevido.

Logotipo do CVE-2026-64600

🔥 Visão Geral da Vulnerabilidade

CVE-2026-64600 (RefluXFS) é uma condição de corrida de alta gravidade no sistema de arquivos XFS do kernel Linux, especificamente no caminho de copy-on-write (CoW) para arquivos reflink (introduzida no kernel 4.11). Um atacante local sem privilégios pode corromper ou sobrescrever arquivos arbitrários no mesmo volume XFS ao disputar gravações concorrentes O_DIRECT em um clone reflink contra um arquivo protegido. A corrupção ocorre na camada de blocos, sobrevive a reinicializações e não deixa rastros nos logs do kernel.

Kernels afetados: Linux 4.11 até as versões corrigidas:

6.12.96+
6.18.39+
7.1.4+
7.2‑rc4+

Impacto: escalonamento local de privilégios para root, corrupção persistente de dados, sobrescrita silenciosa de binários setuid ou arquivos sensíveis.

Esta ferramenta implementa:

Detecção da versão do kernel (em relação aos limites corrigidos).
Detecção de montagens XFS com reflink (verifica /proc/mounts).
Verificação segura da condição de corrida (PoC não destrutivo que cria arquivos temporários e tenta disparar a corrida).
Mitigação em camadas (quando -m fix é usado):
1. Sonda SystemTap – intercepta as chamadas de sistema FICLONE e copy_file_range no XFS, retornando -EOPNOTSUPP.
2. Endurecimento por remontagem – tenta remontar volumes XFS com reflink=0 (defesa em profundidade).
Aviso interativo de correção do kernel – solicita a versão corrigida e comandos de atualização específicos da distribuição.
Execução de comandos personalizados (-c) – executa comandos arbitrários (ex.: id) somente se o sistema estiver vulnerável.

✨ Recursos

Detecção sem root – verifica a versão do kernel e o status do reflink no XFS sem privilégios elevados.
Verificação segura – teste opcional não destrutivo de disparo da condição de corrida (-m exploit).
Mitigação em camadas – implanta a sonda SystemTap e remonta o XFS com reflink=0 (-m fix, requer root).
--dry-run – pré-visualiza as ações de mitigação sem aplicá-las.
--force – força a implantação da mitigação mesmo que as condições não sejam atendidas (laboratório/demo).
Aviso interativo – quando vulnerável, solicita a exibição da versão corrigida e comandos de atualização.
Saída detalhada (-v) para informações detalhadas de análise.
Comando personalizado (-c) – executa um comando somente se o sistema estiver vulnerável (padrão: id).
Saída profissional com código de cores – mensagens de status e vereditos claros.

📦 Compilação e Instalação

git clone https://github.com/Debajyoti0-0/CVE-2026-64600.git
cd cve-2026-64600
gcc -o cve-2026-64600 cve-2026-64600.c -lm -lpthread

Pré-requisitos:

Sistema Linux com kernel 4.11 ou mais recente (ou mais antigo para detecção).
Para mitigação (-m fix):
- privilégios de root (necessários para remontagem e sonda stap).
- SystemTap instalado (comando stap) – opcional, mas recomendado para mitigação completa.
- Sistema de arquivos XFS com reflink habilitado (para que a vulnerabilidade seja explorável).

Opcional: Se o SystemTap não estiver disponível, a ferramenta recorrerá apenas ao endurecimento por remontagem (se suportado pela versão do XFS).

🚀 Uso

Alvo único – apenas detecção

./cve-2026-64600

Detecção com saída detalhada

./cve-2026-64600 -v

Verificar um caminho específico para XFS reflink

./cve-2026-64600 -p /mnt/data

Verificação segura da condição de corrida (PoC)

./cve-2026-64600 -m exploit

Modo automático – verificação + teste se vulnerável

./cve-2026-64600 -m auto

Aplicar mitigação (requer root)

sudo ./cve-2026-64600 -m fix

Pré-visualizar ações de mitigação sem aplicar

sudo ./cve-2026-64600 -m fix --dry-run

Forçar mitigação mesmo que as condições não sejam atendidas (somente laboratório)

sudo ./cve-2026-64600 -m fix --force

Executar um comando personalizado quando vulnerável (ex.: mostrar usuário atual)

./cve-2026-64600 -c "whoami"

Executar comando personalizado com saída detalhada

./cve-2026-64600 -v -c "id"

⚙️ Referência de Flags

Opção	Descrição
`-h, --help`	Mostra a mensagem de ajuda e sai.
`-v, --verbose`	Saída detalhada (mostra os detalhes da versão do kernel analisada).
`-p <path>`	Verifica o status do reflink no XFS em um ponto de montagem específico.
`-m, --mode <mode>`	Modo de operação: `check` (padrão), `exploit`, `auto`, `fix`.
`-c, --cmd <command>`	Executa comando personalizado somente se o sistema estiver vulnerável (padrão: `id`).
`--dry-run`	Pré-visualiza as ações de mitigação (com `-m fix`) sem aplicar.
`--force`	Força a implantação da mitigação mesmo que as condições não sejam atendidas (laboratório/demo).

Modos em detalhe

Modo	Descrição
`check`	Detecção passiva – informa a versão do kernel, o status do reflink no XFS e a heurística de distribuição. Nenhuma ação é executada.
`exploit`	Executa a verificação segura da condição de corrida (PoC) mesmo se o sistema estiver vulnerável. Não aplica mitigação.
`auto`	Se o sistema estiver vulnerável, executa a verificação segura da condição de corrida; caso contrário, apenas verifica.
`fix`	Aplica a mitigação em camadas (requer root). Implanta a sonda SystemTap e tenta remontar o XFS com `reflink=0`. Só aplica se o kernel estiver vulnerável e o reflink do XFS estiver habilitado (a menos que `--force` seja usado).

📝 Exemplos de Saída

Detecção em um sistema não vulnerável (sem XFS reflink)

$ ./cve-2026-64600

┌──────────────────────────────────────────────────────────────────────┐
│ CVE-2026-64600 (RefluXFS) — Mode: check                              │
└──────────────────────────────────────────────────────────────────────┘

─── System Information ───
  Kernel                    5.15.0-91-generic
  Architecture              x86_64
─── Vulnerability Assessment ───
  Kernel Vulnerable         NO
  XFS Reflink (any mount)   DISABLED
  Distribution Affected (heuristic) NO

CVE-2026-64600

Mais Populares

Sobre