Une course d’une fraction de seconde au sein du noyau Linux a suffi pour transformer une opération de routine de copie sur écriture du système de fichiers en une sérieuse élévation de privilèges.
Les systèmes Linux utilisant le système de fichiers XFS souffrent d’une condition de concurrence critique qui pourrait permettre à un utilisateur local non privilégié d’obtenir un accès root complet.
La faille affecte les systèmes dotés d’un noyau Linux 4.11 ou version ultérieure qui ont activé la fonctionnalité XFS reflink, qui permet la création de copies d’un fichier sans réellement copier ses données.
Selon Qualys Threat Research Unit (TRU), il existait un moyen de contourner les protections en écriture des fichiers dont dépend Reflink. Le contournement existe dans les versions du noyau depuis 2017 avant qu’un correctif ne soit disponible la semaine dernière.
« En utilisant cette vulnérabilité, un processus exécuté par un utilisateur ordinaire et non privilégié peut déclencher la faille et obtenir la possibilité d’écraser n’importe quel fichier lisible sur un volume XFS au niveau de la couche bloc », a déclaré Saeed Abbasi, responsable de Qualys TRU, dans un article de blog sur la vulnérabilité, qu’il appelle RefluXFS. « L’exploitation est très fiable et ne laisse aucune sortie de journal du noyau. »
Qualys estime que le problème affecte plus de 16,4 millions de systèmes, principalement des déploiements Linux d’entreprise qui utilisent XFS avec reflink activé par défaut.
Le vainqueur de la course obtient la racine dans une opération de fichier buggé
La vulnérabilité, identifiée comme CVE-2026-64600, découle de la manière dont XFS gère les opérations de copie sur écriture pour les fichiers reflinkés. Normalement, lorsque deux fichiers partagent le même bloc de stockage, comme dans le cas d’un fichier original et du clone reflinké, XFS alloue un nouveau bloc de stockage avant toute modification des données, de sorte que le fichier original reste inchangé.
Cependant, une condition de concurrence critique se produit lorsque deux écritures simultanées sur le fichier reflink sont initiées, ce qui amène le système de fichiers à modifier le fichier d’origine. « La modification est effectuée directement sur le disque, persiste lors des redémarrages et ne produit aucune sortie de journal du noyau », a déclaré Qualys dans un avis.
Le problème est exploitable lorsque Linux 4.11+, XFS avec reflink activé et une configuration de système de fichiers partagé sont tous présents. Un CVSS de haute gravité lui est attribué de 7,8 sur 10, car un exploit n’a besoin que d’un accès en lecture à un fichier cible avant de créer un clone de lien de ref dans un répertoire accessible en écriture sur le même système de fichiers XFS.
Distributions Linux affectées par RefluXFS
La vulnérabilité est présente dans tous les noyaux Linux principaux et stables depuis la sortie de la version 4.11 en 2017 et ne nécessite aucune capacité particulière ni configuration autre que celle par défaut, a déclaré Qualys.
Les distributions Linux concernées incluent RHEL 8,9 et 10, CentOS Stream 8,9 et 10, Oracle Linux 8,9,10, Rocky et AlmaLinux 8,9 et 10, CloudLinux 8,9 et 10, les AMI Amazon Linux 2023 et Amazon Linux 2 à partir de décembre 2022, Fedora Server 31+ et les installations Debian, Ubuntu et SUSE où XFS était sélectionnés manuellement.
Les pratiques habituelles de renforcement du noyau, y compris les fonctionnalités de protection de la mémoire telles que la randomisation de la disposition de l’espace d’adressage du noyau (KASLR), la prévention de l’accès en mode superviseur (SMAP) et la prévention de l’exécution en mode superviseur (SMEP), sont inefficaces car elles visent toutes différentes surfaces d’attaque. Même un verrouillage du noyau ne fait rien pour arrêter le chemin affecté, a noté Qualys.
« SELinux ne bloque pas le chemin affecté lors des tests, et les profils seccomp ne constituent pas une barrière tant qu’ils autorisent l’écriture et l’ioctl, ce que font les profils ordinaires », a expliqué Abbasi. L’application immédiate de correctifs au noyau et un redémarrage complet sont les seules mesures d’atténuation fiables, a-t-il ajouté.
Un correctif a été fusionné dans l’arborescence des sources du noyau Linux en amont le 16 juillet sous le nom de commit « 2f4acd0 », après quoi les distributions Linux ont commencé à rétroporter le correctif dans leurs propres versions de noyau prises en charge.
Les organisations exécutant des déploiements XFS concernés doivent appliquer les dernières mises à jour du noyau de leur fournisseur Linux et redémarrer les systèmes concernés une fois que les noyaux corrigés sont disponibles.
