Onderzoekers waarschuwen voor een nieuwe kwetsbaarheid in de Linux-kernel waardoor een lokale aanvaller root kan worden op systemen met een XFS-bestandssysteem. Miljoenen systemen lopen mogelijk risico, aldus cybersecuritybedrijf Qualys dat het probleem ontdekte en de naam 'RefluXFS' gaf. Er zijn inmiddels updates voor het probleem ontwikkeld. De RefluXFS-kwetsbaarheid betreft een race condition waardoor een unprivileged lokale gebruiker de inhoud van elk bestand kan overschrijven dat hij kan lezen, op een reflink-enabled XFS-volume.

Een aanvaller zou zo bijvoorbeeld /etc/passwd of SUID-root binaries kunnen aanpassen en root kunnen worden. Het probleem is sinds versie 4.11 van de Linux-kernel aanwezig, die zo'n negen jaar geleden verscheen. Volgens Qualys lopen met name multi-tenant systemen risico. Om misbruik van het probleem te maken zijn drie voorwaarden van toepassing: namelijk de aanwezigheid van een kwetsbare Linux-kernel, het gebruik van het XFS-bestandssysteem waarbij reflink is ingeschakeld, het bestandssysteem moet een belangrijk bestand bevatten, zoals een configuratiebestand dat van root is of een SUID-root binary, en een directory waar een unprivileged naartoe kan schrijven.

Reflink is een feature voor het klonen van bestanden. Hierbij kopieert het bestandssysteem geen data, maar noteert dat beide bestanden zich op de dezelfde fysieke blokken op de harde schijf bevinden. Bij de RefluXFS-kwetsbaarheid kan een aanvaller dit proces misbruiken om de inhoud van bestanden te overschrijven waar hij eigenlijk geen rechten voor heeft.

Volgens Qualys zijn RHEL 8, 9 en 10, CentOS Stream 8, 9 en 10, Oracle Linux 8, 9 en 10, Rocky en AlmaLinux 8, 9 en 10, CloudLinux 8, 9 en 10, Amazon Linux 2023 en Amazon Linux 2 AMIs van december 2022 en nieuwer en Fedora Server 31+ kwetsbaar. Debian, Ubuntu en SUSE gebruiken standaard geen XFS. Deze distributies lopen echter risico als er tijdens de installatie voor XFS met de optie reflink=1 is gekozen.

De onderzoekers merken op dat de kwetsbaarheid zich voordoet in de 'filesystem allocation layer', waardoor beschermingsmaatregelen zoals SELinux, container boundaries en geheugenbeveiliging niet werken. De enige oplossing is het patchen van de kernel en het uitvoeren van een volledige reboot. Voor het vinden van de kwetsbaarheid werd gebruik gemaakt van het AI-model Claude Mythos.