Im XFS-Dateisystem des Linux-Kernels wurde eine schwerwiegende Sicherheitslücke entdeckt. Diese als RefluXFS bezeichnete Schwachstelle ermöglicht es einem lokalen Benutzer ohne Root-Rechte, Root-Zugriff zu erlangen. Distributionen wie RHEL, CentOS und AlmaLinux sind besonders betroffen, was für Systemadministratoren erhebliche Besorgnis auslöst.
RefluXFS, bekannt als CVE-2026-64600, nutzt eine neun Jahre alte Sicherheitslücke aus. Diese Schwachstelle missbraucht die Reflink-Funktionalität des XFS-Dateisystems, um unbemerkt wichtige Dateien des Root-Benutzers zu überschreiben. Da keine Protokolleinträge hinterlassen werden, ist dieser Angriff nahezu unentdeckbar.
RefluXFS, entdeckt durch die gemeinsame Forschung von Qualys und Anthropic, stellt viele klassische Schutzmechanismen von Linux-Systemen in Frage. Hier ein detaillierter technischer Einblick in diese Schwachstelle, die unsere volle Aufmerksamkeit verdient.
Wie RefluXFS das XFS-Dateisystem nutzt, um Root-Berechtigungen zu erweitern
Das Problem tritt bei einem direkten Schreibvorgang (O_DIRECT) auf diesen Klon auf. Der Kernel gibt kurzzeitig eine Sperre frei und prüft anschließend, ob die Blockfreigabe noch gültig ist. Ein gleichzeitiger Schreibvorgang kann dann die Daten in den ursprünglichen Blöcken überschreiben, ohne dass Inode oder Berechtigungen geändert werden.
Diese Situation ist vergleichbar mit einem Handwerker, der heimlich und spurlos eine Wand überstreicht, die er nicht berühren durfte. Das Ergebnis: Eine illegal veränderte Root-Datei kann Code mit vollen Berechtigungen ausführen und so unbemerkt Root-Zugriff erlangen.
Die heimtückische Gefahr: dauerhafter, nicht nachvollziehbarer Root-Zugriff
Die besondere Stärke von RefluXFS liegt darin, dass die Modifikation auf Blockebene auf die Festplatte geschrieben wird. Dadurch bleiben die Metadaten erhalten. Die modifizierte Binärdatei behält ihr SUID-Bit, was eine Rechteausweitung während der Ausführung ermöglicht.
Darüber hinaus bleibt diese Änderung auch nach einem Neustart bestehen, wodurch der Einbruch persistent wird. Da diese Aktivität nicht im Kernel-Log protokolliert wird, werden gängige Erkennungsmethoden umgangen. Das ist in etwa so, als würde man einen Dieb begünstigen, der seine Uhr aufzieht, nachdem er ein Fenster eingeschlagen hat.
Bekannte Schutzmechanismen wie SELinux, KASLR, SMEP oder SMAP versagen, da die Schwachstelle die Blockzuweisung im Dateisystem auf einer tieferen Ebene manipuliert. Ein Versagen dieses Mechanismus macht herkömmliche Sicherheitsvorkehrungen wirkungslos.
Betroffene Maschinen und Bedingungen für die Ausnutzung der RefluXFS-Schwachstelle auf RHEL, CentOS und AlmaLinux
Die Sicherheitslücke betrifft alle Linux-Kernel ab Version 4.11, also nahezu alle aktuell unterstützten Versionen. Das Dateisystem muss XFS sein und Reflink aktiviert haben (reflink=1). Außerdem benötigt ein Benutzer ohne Root-Rechte Schreibzugriff auf ein Verzeichnis auf derselben Partition wie die kritischen Root-Dateien.
Diese Bedingungen sind bei vielen Standardinstallationen erfüllt. Beispielsweise ist das Verzeichnis /var/tmp oft für alle Benutzer beschreibbar und befindet sich auf derselben Partition wie /etc und /usr/bin. Dies bietet ideale Voraussetzungen für die Ausnutzung der Sicherheitslücke.
Zu den betroffenen Distributionen gehören RHEL 8, 9 und 10, CentOS Stream, AlmaLinux, Rocky Linux, Oracle Linux und Amazon Linux. Laut Qualys sind insgesamt etwa 16,4 Millionen Rechner durch diese Systeme gefährdet. Debian, Ubuntu und Fedora Workstation sind in ihrer Standardkonfiguration nicht betroffen, da sie XFS nicht für das Root-Verzeichnis verwenden.
SELinux und andere Schutzmechanismen: Warum sie gegen RefluXFS nicht ausreichen.
Es ist verlockend, sich hinter SELinux im Erzwingungsmodus in Sicherheit zu wiegen. Leider ist diese Annahme bei RefluXFS falsch. Selbst im strikten Modus können die SELinux-Schutzmechanismen diese Sicherheitslücke nicht schließen.
Kernel-Sperren, isolierte Container und selbst KASLR, SMEP oder SMAP erkennen oder verhindern die Ausnutzung nicht. Die Schwachstelle umgeht die standardmäßige Berechtigungsverwaltung auf Dateisystemebene und macht diese Schutzmechanismen somit wirkungslos.
Ein Red Hat-Entwickler schlug eine temporäre Lösung vor: ein SystemTap-Skript, das die Funktion `xfs_file_remap_range` – die Ursache des Problems – deaktiviert. Dies ist zwar eine Notlösung, beeinträchtigt aber die Reflink-Funktionalität für Anwendungen, die darauf angewiesen sind.
Der offizielle Patch und die besten Vorgehensweisen zum Schutz vor RefluXFS im Jahr 2026
Die gute Nachricht: Seit dem 16. Juli 2026 ist ein in den Linux-Kernel integrierter Patch verfügbar. Dieser Patch behebt die Race Condition im Kern von reflink in XFS und neutralisiert den Angriff. RHEL-basierte Distributionen haben bereits gezielte Updates veröffentlicht.
Für RHEL und seine Derivate lauten die korrigierten Versionen 4.18.0-553.144.1.el8_10 für den Zweig 8.10, 5.14.0-687.26.1.el9_8 für 9.8 und 6.12.0-211.34.1.el10_2 für 10.2. Diese Aktualisierungen sollten unverzüglich installiert werden.
In der Zwischenzeit sind das Deaktivieren von Reflink per Skript oder die Anpassung der Systemkonfiguration Notfallmaßnahmen. Die Konsequenzen sind offensichtlich: Vorbeugen ist besser als Heilen, insbesondere angesichts einer so tückischen Sicherheitslücke, die herkömmliche Schutzmechanismen umgeht.