RefluXFS: Linux内核XFS文件系统中的本地权限提升至root漏洞 (CVE-2026-64600)

# RefluXFS：Linux 内核 XFS 文件系统中的本地权限提升漏洞（CVE-2026-64600）| Qualys 来源：https://blog.qualys.com/vulnerabilities-threat-research/2026/07/22/refluxfs-a-linux-kernel-local-privilege-escalation-to-root-in-xfs-cve-2026-64600 ## **执行摘要** Qualys 威胁研究团队 (TRU)(https://www.qualys.com/tru) 发现了 CVE-2026-64600，这是 Linux 内核 XFS 文件系统写入复制路径中的一个竞态条件。拥有普通本地帐户的攻击者可以利用此竞态条件覆盖磁盘上的受保护文件，并在受影响的系统（包括运行强制模式 SELinux 的部署）上获得主机 root 权限。 这一发现源于 Qualys 与 Anthropic 之间的一项结构化研究计划，我们将 Claude Mythos Preview 集成到手动审计工作流程中，以加速研究，同时保持严格的人工监督。 利用此漏洞，以普通非特权用户身份运行的进程可以触发该缺陷，并获得在块层覆盖 XFS 卷上任何可读文件的能力。这种原语可直接转化为主机 root 权限。利用过程高度可靠，且不会留下内核日志输出。该漏洞影响所有使用启用了重链接 (reflink) 的 XFS 根文件系统的 Linux 发行版。这包括主要企业平台的默认安装，例如 RHEL、Oracle Linux、Amazon Linux 和 Fedora。 该漏洞自内核版本 4.11（约 2017 年）以来一直存在，并且根据 Qualys 网络安全资产管理(https://www.qualys.com/apps/cybersecurity-asset-management) 的分析，可能影响全球超过 1640 万个系统，由于其高可利用性和缺乏内核日志记录，需要立即关注。 建议立即修补内核以消除此漏洞。在标准加固设置下，利用成功率很高，并且磁盘上的修改在系统重启后仍然存在。 现已提供厂商修复的内核，并正在向后移植到企业发行版。组织应优先修补暴露和多租户系统，并确保重启以验证更新。截至目前，没有可靠或实用的缓解措施或临时配置更改可用。 我们将其评为紧急优先级，因为利用可以从普通本地权限开始。该漏洞存在于标准的企业内核构建中，成功利用可获得主机 root 权限。利用在常见的内核加固设置下有效，并且已提供修复的内核。 RefluXFS 与其说是关于人工智能能做什么，不如说是关于如何负责任地使用它。能力强大的模型已经广泛可用一段时间了；限制因素是方向，而非能力。教训不在于人工智能可以被指向软件以产生漏洞；而在于，人工智能与专家判断相结合，可以帮助防御者在漏洞被滥用之前发现并修复严重缺陷。 ## **发现过程与研究方法** 在这项研究中，我们要求 Claude Mythos Preview 在 Linux 内核中寻找类似于 Dirty COW 的竞态条件，迭代优化我们的提示，将其注意力集中在核心内存管理和文件系统目录中的竞态条件上。经过几次迭代，该模型在 XFS 文件系统中识别出一个竞态条件，并生成了一个功能性的本地权限提升概念验证代码。然后，我们的安全研究人员接手：我们审查了模型的推理，复现了漏洞利用，并独立验证了每一个技术声明，然后与上游维护者协调披露。该模型还生成了公告的初稿，我们的团队根据我们自己的测试对其进行了验证和纠正。这种经人工验证、AI 加速的方法让我们能够发现一个复杂的内核竞态条件，同时坚持我们所期望的严格准确性和负责任的披露标准；此处的每一项发现都通过了我们适用于任何 Qualys 安全公告的相同证据标准。 --- **了解更多关于 Qualys 参与 Anthropic 的 Project Glasswing 的信息。** --- ## **了解 RefluXFS 漏洞的潜在影响** 一个非特权本地用户可以覆盖启用了重链接 (reflink) 的 XFS 卷上任何可读文件的磁盘内容。我们的概念验证代码通过精确修改 /etc/passwd 或 SUID-root 二进制文件，可靠地获得主机 root 权限。修改在重启后持续存在，不留下内核日志输出，并且绕过标准的文件元数据检查。 虽然 CVE-2026-64600 本身是本地漏洞，但在已受损主机上成功利用可能使攻击者能够建立持久性、操纵凭据或促进网络内的横向移动。 ## **观看 RefluXFS 概念验证演示** 下面视频中展示的概念验证演示了在默认的 RHEL 10.2 部署上的 RefluXFS 漏洞。从一个没有管理权限的非特权本地用户开始，漏洞利用触发竞态条件，在块层静默地覆盖受保护的系统文件。几秒钟内，root 帐户的密码保护被移除，立即授予无密码的 root 访问权限。该修改在重启后持续存在，并且不留下内核日志痕迹。 RefluXFS PoC 在 RHEL 10.2 上的执行。非特权用户通过利用 XFS reflink 竞态条件提升到 root。 ## **受影响系统与前提条件** ### **漏洞范围与影响：** RefluXFS 漏洞影响满足以下**全部三个**条件的系统： 1. **内核版本：** 运行 Linux 内核 v4.11 或更高版本（2017 年）且未应用特定安全补丁的系统。 2. **文件系统配置：** 使用在其超级块中设置了 reflink=1 的 XFS 文件系统。 3. **文件结构：** 文件系统必须同时包含一个高价值目标（属于 root 的配置文件或 SUID-root 二进制文件）以及一个非特权本地用户可写的目录。 ### **受影响的发行版：** 自 2017 年以来，此漏洞存在于每个主线及稳定内核中。它不需要特殊能力或非默认配置。下面列出的发行版是已确认受影响的；这不是一个详尽列表，其他发行版（尤其是那些源自 RHEL 的发行版）很可能也受影响： - RHEL 8、9 和 10 - CentOS Stream 8、9 和 10 - Oracle Linux 8、9 和 10 - Rocky 和 AlmaLinux 8、9、10 - CloudLinux 8、9 和 10 - 2022 年 12 月及之后版本的 Amazon Linux 2023 和 Amazon Linux 2 AMIs - Fedora Server 31+ - Debian、Ubuntu 和 SUSE 默认不使用 XFS，但如果管理员在安装过程中手动选择 XFS 并且启用了 reflink=1，则会暴露风险。 对于运行受影响发行版的用户，我们建议通过发行版的公告应用最新的安全更新，并执行系统重启。 ## **RefluXFS 是如何工作的？** RefluXFS 是 Linux 内核 XFS 文件系统写入复制 (CoW) 路径中的一个竞态条件。它允许一个非特权本地用户覆盖启用了重链接的 XFS 卷上任何可读文件的磁盘内容。 当两个并发的 `O_DIRECT` 写入针对同一个重链接文件时，会触发该漏洞。XFS 使用 CoW 来处理对共享块的写入：它分配一个新的私有块，重新映射文件，并减少原始块的引用计数。为了避免死锁，内核在等待事务日志空间时会释放其 inode 锁。在此窗口期间，第二个写入者可以完成其自身的 CoW 周期，将文件重新映射到一个新块，并将原始块的引用计数减少到一。 当第一个写入者重新获取锁时，它会使用在锁被释放之前捕获的过时物理块地址重新检查引用计数。看到计数为一，它错误地认为该块是私有的，并直接写入原始文件的物理块。由于 `O_DIRECT` 绕过内核页缓存且缺乏重新验证，写入会持久化到磁盘，覆盖目标文件。该更改在重启后持续存在，不留下内核日志输出，并绕过标准的文件元数据检查。 ## **为什么现有的缓解措施无法阻止它** 如果您想知道通常的内核加固是否能捕获这一点，简短的回答是不能，并且值得了解原因。该缺陷位于文件系统分配层，该层位于大多数系统所依赖的防御措施之下或之外。 像 KASLR、SMEP 和 SMAP 这样的内存保护功能针对的是截然不同的攻击面，根本不适用于块层写入。内核锁定也无济于事，因为它对非特权用户的 O_DIRECT 或 FICLONE 没有施加任何限制。SELinux 在测试中并未阻止受影响的路径，并且只要 seccomp 配置文件允许 write 和 ioctl（普通配置文件通常允许），它们就不是障碍。 您在容器化环境中可能依赖的隔离机制出于相同的基本原因而失效：用户命名空间限制、容器能力限制以及加固分配器都在漏洞从未触及的层运行。由于该漏洞通过正常的文件系统分配工作，它可以绕过旨在监管内存、系统调用和权限边界的防御措施。 **必需操作：** 这不是一个可以通过加固、隔离或热补丁来修复的漏洞。SELinux、容器边界、内存保护甚至主动威胁监控都无法胜任，因为该缺陷在文件系统分配层运行，低于所有传统防御措施。立即修补内核并完全重启是唯一可靠的缓解措施。 ## **RefluXFS 漏洞的技术细节：** 您可以在以下位置找到此漏洞的技术细节：https://cdn2.qualys.com/advisory/2026/07/22/RefluXFS.txt ## 致谢 我们感谢 XFS 维护者和 Linux 内核安全团队，特别是 Carlos Maiolino、Greg Kroah-Hartman、Darrick J. Wong、Linus Torvalds、David Woodhouse 和 Willy Tarreau，感谢他们迅速的协调和严谨的修补工作。我们也感谢 Anthropic 团队在整个工作中持续的协作和深思熟虑的参与。 我们向 linux-distros 邮件列表社区的成员，特别是 Sam James、Caryl Takvorian、Denis Pilipchuk、Salvatore Bonaccorso 和 Solar Designer，表示感谢，感谢他们在协调披露过程中提供的建设性反馈。 ## **用于检测 RefluXFS 漏洞 (CVE-2026-64600) 的 Qualys QID 覆盖范围：** Qualys 将在下表列出的 QID 可用时发布它们。 Qualys 客户可以使用 QID 45097 – Linux Kernel Version Running 来识别扫描时系统上活动的 Linux 内核版本。 | **QID** | **标题** | **VulnSigs 版本** | | :--- | :--- | :--- | | 6600012 | Oracle Enterprise Linux Security Update for kernel (ELSA-2026-39494) | VULNSIGS-2.6.656-2 | | 6053109 | Red Hat Update for kernel (RHSA-2026:41229) | VULNSIGS-2.6.656-2 | | 6053104 | Red Hat Update for kernel (RHSA-2026:41062) | VULNSIGS-2.6.656-2 | | 6052390 | Red Hat Update for kernel (RHSA-2026:41063) | VULNSIGS-2.6.654-2 | | 6052332 | Red Hat Update for kernel (RHSA-2026:40425) | VULNSIGS-2.6.654-2 | | 944816 | AlmaLinux Security Update for kernel (ALSA-2026:39179) | VULNSIGS-2.6.653-2 | | 6052326 | Red Hat Update for kernel (RHSA-2026:39984) | VULNSIGS-2.6.653-2 | | 963680 | Rocky Linux Security Update for kernel (RLSA-2026:39179) | VULNSIGS-2.6.653-2 | | 6052307 | Red Hat Update for kernel security (RHSA-2026:39494) | VULNSIGS-2.6.652-2 | | 2289032 | Fedora Security Update for kernel (FEDORA-2026-085c9e92a4) | VULNSIGS-2.6.651-2 | | 6052294 | Red Hat Update for kernel (RHSA-2026:39179) | VULNSIGS-2.6.652-2 | | 6052291 | Red Hat Update for kernel-rt (RHSA-2026:39180) | VULNSIGS-2.6.652-2 | | 2387841 | RefluXFS: Local Privilege Escalation via XFS reflink direct-I/O race | TBD (太平洋夏令时中午) | | 944834 | AlmaLinux Security Update for kernel (ALSA-2026:39494) | VULNSIGS-2.6.653-2 | | 963688 | Rocky Linux Security Update for kernel (RLSA-2026:39494) | VULNSIGS-2.6.653-2 | | 963682 | Rocky Linux Security Update for kernel-rt (RLSA-2026:39180) | VULNSIGS-2.6.653-2 | | 944802 | AlmaLinux Security Update for kernel-rt (ALSA-2026:39180) | VULNSIGS-2.6.652-2 | **立即采取行动：** 使用 QID 扫描所有 Linux 端点。优先修补面向互联网的资产。 请查看 Qualys 漏洞知识库以获取此漏洞的完整覆盖列表。 ## 结论 RefluXFS 展示了在遵循纪律且由专家主导的安全研究流程中应用先进技术的价值。其意义不仅在于技术本身，更在于它如何帮助研究人员更早地识别严重缺陷、验证其影响，并在攻击者利用之前支持协调披露。一个弹性的安全态势最终取决于持续的可见性和及时的行动：我们鼓励客户通过 CSAM 和 VMDR 发现并了解暴露的资产，以识别这些资产上的漏洞并确定其优先级，并使用 Patch Management 在漏洞被利用之前进行修复。 --- **了解更多关于 Qualys 参与 Anthropic 的 Project Glasswing 的信息。** ---