RefluXFS: Kernel-Bug verleiht auf Millionen von Linux-Systemen Root-Zugriff

Eine Schwachstelle mit langer Historie

Sicherheitsforscher von Qualys haben eine gravierende Schwachstelle im Linux-Kernel identifiziert, die unter dem Namen „RefluXFS“ bekannt geworden ist. Die Lücke, die unter der Kennung CVE-2026-64600 geführt wird, ist keineswegs neu: Analysen zeigen, dass sie bereits seit etwa neun Jahren im Code existiert. Entdeckt wurde das Einfallstor mithilfe von KI-gestützter Analyse. Die Schwachstelle ermöglicht es Angreifern, die über einfache Benutzerrechte verfügen, geschützte Dateien auf Blockebene zu überschreiben und sich so umfassende Root-Privilegien zu verschaffen.

Technische Ursache: Race Condition im XFS-Dateisystem

Der Kern des Problems liegt in einer sogenannten Race Condition innerhalb des Copy-on-Write-Pfades des XFS-Dateisystems. Durch diesen Fehler ist es möglich, Inhalte von Dateien, die eigentlich für den Benutzer lesbar, aber nicht veränderbar sein sollten, gezielt zu manipulieren.

Die Forscher konnten in einer Demonstration zeigen, wie durch das teilweise Überschreiben der Datei `/etc/passwd` der Passwortschutz des Root-Accounts ausgehebelt wird. Ein Angreifer kann sich auf diese Weise Administratorrechte verschaffen, ohne das korrekte Passwort kennen zu müssen. Besonders kritisch ist dabei, dass der Eingriff selbst nach einem Neustart des Systems bestehen bleibt und laut den Berichten der Sicherheitsforscher keine verwertbaren Spuren in den Kernel-Logs hinterlässt.

Millionen Systeme weltweit gefährdet

Von der Sicherheitslücke sind alle Linux-Kernel ab Version 4.11 betroffen, die seit April 2017 veröffentlicht wurden. Die Gefährdung ist jedoch an spezifische Konfigurationen gebunden: Ein System muss das XFS-Dateisystem nutzen und die Reflink-Funktion aktiviert haben.

Zu den betroffenen Distributionen in der Standardkonfiguration gehören unter anderem:

• Red Hat Enterprise Linux (RHEL)
• CentOS
• Fedora
• Oracle Linux
• Rocky Linux
• AlmaLinux
• CloudLinux
• Amazon Linux

Auch Systeme wie Debian, Ubuntu oder Suse können anfällig sein, sofern der Administrator bei der Installation manuell XFS als Dateisystem gewählt und die Reflink-Option eingeschaltet hat. Die Experten schätzen, dass weltweit über 16,4 Millionen Linux-Installationen potenziell verwundbar sind. Selbst Systeme, die mit aktivem SELinux im Enforcing-Modus betrieben werden, bieten keinen ausreichenden Schutz vor dieser Manipulation.

Maßnahmen und Patch-Status

Ein offizieller Patch wurde bereits am 16. Juli in die zentrale Codebasis des Linux-Kernels integriert. Die Verantwortung für die Verteilung liegt nun bei den Maintainern der einzelnen Linux-Distributionen. Da die Bereitstellung der Updates jedoch nur schleppend vorankommt, besteht für viele Administratoren derzeit Handlungsbedarf.

Ein direkter, zuverlässiger Workaround existiert nach Einschätzung der Sicherheitsforscher nicht. Zwar hat Red Hat ein Skript zur Mitigation veröffentlicht, dieses weist jedoch deutliche Nachteile auf:

• Die Schutzwirkung geht bei einem Neustart verloren und muss erneut angewendet werden.
• Anwendungen, die auf Reflink-Operationen angewiesen sind, können durch das Skript instabil werden oder Fehler verursachen.

Angesichts der Schwere des Angriffs und der Tatsache, dass die Lücke dauerhaften Root-Zugriff ohne Hinterlassen von Log-Einträgen ermöglicht, sollten Systemverwalter die Veröffentlichung von Sicherheitsupdates ihrer jeweiligen Distributionen engmaschig verfolgen und diese zeitnah einspielen.