RefluXFS脆弱性の実態
ファイルシステム層そのものに重大な脆弱性が発生すれば、Linux上でどれほど堅牢な防御機構を敷いていても意味をなしません。新たに確認されたRefluXFS脆弱性により、権限を持たないローカルの攻撃者が保護対象のシステムファイルを密かに上書きし、XFSファイルシステムを利用するシステムでroot権限を奪取できることが判明しました。特筆すべきは、SELinuxがEnforcingモードで稼働している場合でもこの侵害が成立する点です。
CVE-2026-64600として登録されたこのセキュリティ上の欠陥は、バージョン4.11以降のLinuxカーネル全般に影響します。Qualysのセキュリティ研究者は、共通のデータブロックを共有するファイルに対してXFSが用いるcopy-on-write（コピーオンライト）機構の内部に、微妙な競合状態（レースコンディション）が存在することを発見しました。この不具合は、2つの並行プロセスが同一の共有ファイルに対して直接O_DIRECT書き込み要求を実行した際に発生します。
競合状態が引き起こす仕組み
書き込み処理が進行している最中、Linuxカーネルは操作用トランザクションログの空き容量待ちのため、一時的にファイルロックを解放します。もう一方のプロセスは、このわずかな隙を突いて基となるブロックの紐付けを変更します。その結果、最初のプロセスは古い参照情報のまま処理を再開し、保護対象であるはずの元のディスクセクターへ直接データを書き込んでしまいます。
O_DIRECTは意図的にシステムファイルキャッシュを迂回する仕組みのため、カーネルはブロックの状態を再検証しません。結果として、改ざんされたデータは検証を経ないまま永続的なディスクストレージへ直接コミットされてしまいます。
攻撃手法と実証コード(PoC)
この脆弱性の悪用には、ローカルアクセス、パッチ未適用のカーネル構成、reflink機能を有効化したXFSパーティション、そして書き込み可能なディレクトリ内に読み取り可能なシステムファイルのリンクコピーを作成できる権限が必要です。
Qualysの研究者が標準的なRHEL 10.2環境で実施した実証コード(PoC)のデモンストレーションでは、root アカウントのパスワード保護がわずか数秒で完全に解除されました。この改ざんはシステム再起動後も維持される一方、カーネル監査ログには一切の記録が残りませんでした。現時点で、実際の攻撃においてこの脆弱性が悪用された証拠は確認されていません。
従来型セキュリティアーキテクチャの回避
標準的なカーネル保護ルーチン、コンテナの隔離境界、SELinuxのような強制アクセス制御ポリシーは、いずれもこの攻撃経路を検知できません。これは、この脆弱性がディスクブロック割り当てという低レイヤーの処理段階に起因していることが理由です。Qualysは、この脆弱性による潜在的な影響が1,640万件を超える企業導入環境に及ぶと試算していますが、実際のリスクの度合いは個々のXFS構成やディレクトリのアクセス権限設定に左右されます。
修正およびパッチの適用
RHEL、Oracle Linux、AlmaLinux、Rocky Linux、Fedoraをはじめとする主要なディストリビューションでは、修正済みのカーネルアップデートがすでに公開されています。システム管理者には、マルチユーザー環境やインターネットに公開されたサーバーに対して、これらのディストリビューション更新を直ちに適用し、その後システムを完全に再起動することを強く推奨します。今回のアドバイザリでは、ベンダー提供のアップデートを適用する以外に、信頼できる一時的な回避策は示されていません。
翻訳元: https://meterpreter.org/refluxfs-linux-vulnerability/
