「RefluXFS」と名付けられた新たな脆弱性CVE-2026-64600が公開されました。これはLinuxカーネルのXFSファイルシステムに存在する重大な競合状態で、権限を持たないローカルユーザーがroot権限まで昇格できてしまうというものです。
この脆弱性は、reflinkが有効なXFSルートファイルシステムを採用しているすべてのLinuxディストリビューションに影響し、RHEL、Oracle Linux、Amazon Linux、Fedoraのデフォルトインストール環境も含まれます。Qualysの推計では、世界中で1,640万台を超えるシステムが影響を受ける可能性があるとしています。
RefluXFSはXFSのコピーオンライト（CoW）処理に存在し、同一のリフリンクされたファイルに対して2つの同時O_DIRECT書き込みが行われた際にトリガーされます。
XFSは共有ブロックへの書き込みを処理する際、新しいプライベートブロックを割り当て、ファイルを再マッピングした上で、元のブロックの参照カウントを減少させます。デッドロックを避けるため、カーネルはトランザクションログの空き容量を待つ間、inodeロックを解放します。
このタイミングで、2つ目の書き込みプロセスが独自のCoWサイクルを完了させ、ファイルを再マッピングして元のブロックの参照カウントを1にまで減少させることが可能です。最初の書き込みプロセスがロックを再取得すると、ロック解放前に取得していた古い物理ブロックアドレスを使って参照カウントを再チェックします。
カウントが1であることを見て、そのブロックがプライベートであると誤って判断し、元のファイルの物理ブロックに直接書き込んでしまいます。O_DIRECTはページキャッシュを迂回し再検証をスキップするため、この書き込みはディスクに永続化され、対象ファイルが気付かれないまま上書きされてしまいます。
通常のローカルアカウントを持つ攻撃者は、これを悪用してXFSボリューム上の読み取り可能なあらゆるファイル(/etc/passwdやSUID root設定のバイナリを含む)を上書きできます。
Qualysはこのエクスプロイトを実証し、デフォルト設定のRHEL 10.2環境で、権限を持たないシェルから数秒でパスワードなしのroot権限まで昇格させることに成功しました。特に重要な点として、この改ざんは再起動後も残存し、カーネルログには一切出力されないため、従来型の監視による検出が極めて困難です。
この脆弱性はカーネル4.11(2017年)以降にわたって存在しており、SELinux Enforcingモード下でも悪用可能です。テストの結果、影響を受けるコードパスがSELinuxポリシーによって制限されていないことが確認されています。
RefluXFSはファイルシステムの割り当て層で動作するため、従来の防御策の多くが機能する層より下で処理が行われ、一般的なハードニング対策を回避してしまいます。KASLR、SMEP、SMAPはメモリ破損攻撃を対象としており、ブロック層の書き込みは対象としていません。カーネルロックダウンも、権限を持たないユーザーによるO_DIRECTやFICLONEの使用を制限していません。
「write」や「ioctl」を許可するseccompプロファイル(ほとんどのワークロードで標準的な設定)も障壁にはなりません。コンテナ分離、ユーザー名前空間、ハードニングされたアロケーターも同様に、この層には影響を及ぼしません。
この脆弱性が悪用可能となるには、以下の3条件が必要です。パッチ未適用のカーネルv4.11以降であること、「reflink=1」が設定されたXFSファイルシステムであること、そして権限を持たないユーザーが書き込み可能なディレクトリが、価値の高いroot所有の対象ファイルと同じ場所に存在すること、の3つです。
影響が確認されているディストリビューションには、RHEL、CentOS Stream、Oracle Linux、Rocky Linux、AlmaLinux、CloudLinux(バージョン8~10)、Amazon Linux 2023/2、Fedora Server 31以降が含まれます。Debian、Ubuntu、SUSEはデフォルトでは影響を受けませんが、reflink付きXFSを手動で設定した場合は脆弱性の対象となります。
Qualysは、実行可能な一時的な緩和策は存在しないと確認しており、パッチ適用と再起動のみが唯一の対処法だとしています。ベンダーによる修正済みカーネルはすでに提供されており、各エンタープライズディストリビューションへのバックポートが進められています。
組織はマルチテナント環境やインターネットに公開されたシステムを優先的に対応し、直ちにアップデートを適用した上で、変更が再起動後も持続する性質を踏まえ、完全な再起動を行って修復状況を確認する必要があります。
なお、この脆弱性はQualysとAnthropicの共同研究によって発見されたもので、Claude Mythos Previewを活用して手作業によるカーネル監査を加速させ、公開前にすべての発見事項を人間の研究者が独立して検証しています。
SOC調査の盲点を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/critical-xfs-race-condition/