Sicherheitsforscher haben eine neun Jahre alte Schwachstelle im Linux-Kernel offengelegt, die es lokalen Angreifern ermöglicht, geschützte Dateien zu überschreiben und Root-Rechte zu erlangen.
Die Schwachstelle, die als CVE-2026-64600 geführt wird und den Namen RefluXFS trägt, betrifft das XFS-Dateisystem, wenn die Reflink-Unterstützung aktiviert ist. Entdeckt und gemeldet wurde sie von der Qualys Threat Research Unit.
Die RefluXFS-Schwachstelle existiert seit Linux-Kernel-Version 4.11 und allen späteren Versionen. Die Kernel-Entwickler haben den Fehler am 16. Juli behoben. Anbieter arbeiten nun daran, den Patch auf betroffene Enterprise-Linux-Distributionen zurückzuportieren.
RefluXFS zielt auf XFS-Systeme mit Reflink-Unterstützung
RefluXFS betrifft Linux-Systeme, die das XFS-Dateisystem mit aktivierter Reflink-Unterstützung verwenden. Reflink ist in mehreren großen Enterprise-Linux-Distributionen standardmäßig aktiviert.
Damit ein Angriff erfolgreich ist, muss das Zielsystem außerdem ein Verzeichnis enthalten, in das ein lokaler Benutzer ohne besondere Berechtigungen schreiben darf. Der Angreifer benötigt anschließend Zugriff auf ein wertvolles Ziel mit Root-Besitz, beispielsweise eine Konfigurationsdatei oder eine SUID-Root-Binärdatei.
Laut Qualys entsteht die Schwachstelle durch eine Race Condition im Copy-on-Write-Allokierungsprozess von XFS. Unter bestimmten Bedingungen kann ein Angreifer erreichen, dass ein Schreibvorgang, der eigentlich für eine von ihm kontrollierte Datei bestimmt ist, stattdessen den physischen Festplattenblock einer geschützten Datei verändert.
Die Änderung betrifft nicht den Inode der geschützten Datei. Dadurch kann eine kompromittierte SUID-Root-Binärdatei ihre erhöhten Berechtigungen behalten.
Übliche Linux-Schutzmechanismen verhindern den Angriff nicht
Qualys warnt, dass gängige Linux-Härtungsmaßnahmen die Ausnutzung von RefluXFS nicht verhindern.
Die anfällige Aktivität findet auf der Ebene der Dateisystem-Allokierung statt – unterhalb der Ebene, auf der viele klassische Schutzmechanismen greifen. Das bedeutet, dass SELinux, Kernel Lockdown, Container-Isolierung sowie Speicherschutzmechanismen wie KASLR, SMEP und SMAP den Angriff nicht blockieren.
Die Forscher geben an, dass der Exploit äußerst zuverlässig ist, keine Kernel-Logeinträge erzeugt und einen Neustart übersteht, da die Daten direkt auf der Festplatte verändert werden.
Diese Kombination macht RefluXFS besonders gefährlich in Multi-User- und Multi-Tenant-Umgebungen, in denen lokale Benutzer zwar eingeschränkte Schreibrechte besitzen, aber keine Root-Dateien verändern können sollten.
Mehrere Enterprise-Linux-Distributionen betroffen
Die Schwachstelle betrifft mehrere Enterprise-Linux-Distributionen, darunter:
- Red Hat Enterprise Linux
- Oracle Linux
- Amazon Linux
- Fedora
- CentOS Stream
- Rocky Linux
- AlmaLinux
- CloudLinux
Qualys schätzt auf Grundlage seiner Asset-Management-Daten, dass mehr als 16,4 Millionen Systeme potenziell anfällig sein könnten.
Die tatsächliche Gefährdung hängt jedoch von der Dateisystemkonfiguration ab. Systeme müssen XFS mit aktivierter Reflink-Unterstützung verwenden und zudem die weiteren Voraussetzungen für eine lokale Ausnutzung erfüllen.
KI-gestützte Forschung half bei der Entdeckung
Qualys erklärte, dass die Schwachstelle während eines Forschungsprojekts mit Anthropics Claude Mythos Preview entdeckt wurde.
Die Forscher baten das Modell, nach einer Race Condition zu suchen, die der Schwachstellenklasse Dirty COW ähnelt. Nach weiteren Verfeinerungen identifizierte das Modell das Problem in XFS und erzeugte einen funktionsfähigen Proof of Concept.
Anschließend überprüften die Qualys-Forscher die Ergebnisse, reproduzierten den Exploit und verifizierten die technischen Details eigenständig, bevor sie die Offenlegung mit den Linux-Kernel-Entwicklern koordinierten.
Sicherheitsupdate installieren und Systeme neu starten
Die Linux-Kernel-Entwickler haben CVE-2026-64600 am 16. Juli behoben. Aktualisierte Kernel werden nun über Hersteller-Updates und Backports bereitgestellt.
Qualys empfiehlt Unternehmen, betroffene Systeme umgehend zu patchen und anschließend neu zu starten. Ein Neustart stellt sicher, dass das System den aktualisierten Kernel verwendet.
Nach Angaben der Forscher gibt es derzeit keine zuverlässigen temporären Gegenmaßnahmen oder Konfigurationsänderungen, die die Schwachstelle entschärfen. Unternehmen sollten daher exponierte, gemeinsam genutzte und Multi-Tenant-Systeme vorrangig absichern.
RefluXFS reiht sich in mehrere in diesem Jahr veröffentlichte Linux-Schwachstellen zur Rechteausweitung ein, darunter CIFSwitch, PinTheft, Copy Fail, Dirty Frag, Fragnesia, Pack2TheRoot und DirtyDecrypt.
0 Kommentare zu „Neue RefluXFS-Schwachstelle in Linux ermöglicht Angreifern Root-Rechte“