RefluXFS (CVE-2026-64600) PoC

Этот репозиторий содержит PoC недавно обнаруженной уязвимости состояния гонки (race condition), затрагивающей COW в XFS, о которой сообщила отличная команда Qualys Security Team. [1] [2]

Информация о PoC

Написан вручную на основе отличного анализа из рекомендаций Qualys. Перезаписывает первые 4 КБ файла /etc/passwd тем, что там изначально было, заменяя строку root: root:x:0:0:root:/root:/bin/bash на root::0:0:root:/root:/bin/bash. Заметили разницу? Теперь у пользователя root нет пароля, и можно просто su -.

Будучи корявым PoC для моих собственных нужд, он имеет паршивую обработку ошибок и не делает никаких резервных копий исходного файла и тому подобного. Протестировано на виртуальной машине Rocky Linux 9.7 с корневым разделом XFS и ядром от февраля 2026 года. Он также коряво дополняет запись в /etc/passwd, так что если вам дорога машина, на которой вы его запускаете... сделайте резервную копию файла перед запуском. Я сделал PoC для проверки своих машин и собирался придержать его, но увидел, что вчера выложили другой PoC, так что...

Возможно, придётся изменить переменную CLONE_FILE в PoC, чтобы она указывала на путь, куда вы можете писать, если /home находится в другом разделе, нежели /etc/passwd. /var/tmp может помочь; для определения поверхности атаки можно использовать find / -writable. Компиляция: gcc refluxfs.c -o refluxfs -lpthread.

Обнаружение и смягчение

PoC не оставляет записей в журнале или dmesg. На мой взгляд, лучший способ обнаружить это — настроить правило SIEM для мониторинга вызовов ioctl с FICLONE на файловых системах XFS. Инструменты мониторинга целостности файлов (FIM) также могут это зафиксировать.

Обновите ядро, если есть возможность. Альтернативно, смягчение от Red Hat с помощью SystemTap работает:

probe begin {
        printf("refluxfs mitigation loaded\n")
}

probe module("xfs").function("xfs_file_remap_range").call {
        $remap_flags = 0xffff
}

probe module("xfs").function("xfs_file_remap_range").return {
        $return = -95
}

probe end {
        printf("refluxfs mitigation unloaded\n")
}

Предварительные требования

1. Стандартная конфигурация XFS на свежем (>= 2017) ядре. RHEL использует XFS по умолчанию. Проверьте командой $ xfs_info / | grep reflink=1 и mount -l | grep xfs.
2. Целевой файл, который стоит атаковать, обычно принадлежит root и доступен для чтения всем (для копирования), а также путь для записи в той же файловой системе, куда можно поместить копию. PoC использует /etc/passwd; также может подойти SUID-файл или другой ценный конфигурационный файл, принадлежащий root.

Ошибка в коде XFS означает, что Copy-On-Write может быть запрошен для файла, и COW не откатывается должным образом. При записи в наш скопированный файл COW должен откатиться, и на диске должны существовать два разных файла. С помощью потоков можно просто... записывать в оба файла одновременно из-за гонки.

Если вы можете читать целевой файл и выполнить ioctl(fd, FICLONE) для него, у вас есть копия с включённым COW. Она должна находиться в том же разделе.

Затем можно просто... выполнить write() в свою копию с O_DIRECT и изменить исходный файл.

Затронутые по умолчанию дистрибутивы (опять же, спасибо Qualys)

• RHEL 8, 9, 10; CentOS Stream 8, 9, 10; Rocky и AlmaLinux 8, 9, 10
• Oracle Linux 8, 9, 10 (RHCK 4.18/5.14/6.12, и UEK R6/R7/8)
• CloudLinux 8, 9, 10
• Fedora Server >= 31
• Amazon Linux 2023
• Amazon Linux 2 AMIs от декабря 2022 (2.0.20221210.1) и новее

Ссылки

1: https://openwall.com/lists/oss-security/2026/07/22/14

2: https://blog.qualys.com/vulnerabilities-threat-research/2026/07/22/refluxfs-a-linux-kernel-local-privilege-escalation-to-root-in-xfs-cve-2026-64600

В моём описании, вероятно, есть ошибки, но я хотел с чего-то начать, особенно в эти потрясающие пару месяцев.

"Better to be a dog in times of tranquility than a human in times of chaos."

- Feng Menglong, Stories to awaken the world