Auf den Punkt: Eine sieben Jahre unentdeckte Race Condition in XFS ermöglicht unprivilegierten Prozessen, beliebige Dateien zu überschreiben und Root-Zugriff zu erlangen, lässt sich aber nur durch Kernel-Update beheben.
Eine Race Condition in der XFS-Dateisystem-Implementierung des Linux-Kernels 4.11+ ermöglicht lokalen Nutzern, Root-Zugriff zu erlangen. Die Schwachstelle (CVE-2026-64600) betrifft Systeme mit aktivierter Reflink-Funktion und existiert bereits seit 2017.
Die Schwachstelle betrifft Linux-Systeme mit Kernel 4.11 oder neuer, auf denen die XFS-Funktion Reflink aktiviert ist. Diese Funktion ermöglicht es, Dateikopien zu erstellen, ohne die Daten tatsächlich zu duplizieren. Das Reflink-Feature wird in Enterprise-Linux-Deployments wie Red Hat Enterprise Linux 8, 9 und 10, CentOS Stream, Oracle Linux, Rocky, AlmaLinux, Amazon Linux 2023 und Debian/Ubuntu-Installationen mit XFS als Standard oder manuelle Konfiguration verwendet. Qualys schätzt, dass über 16,4 Millionen Systeme betroffen sind.
Die Race Condition tritt bei gleichzeitigen Schreibvorgängen auf Reflink-Dateien auf. Normalerweise allokiert XFS einen neuen Speicherblock, bevor Daten modifiziert werden, um die Originalversion zu schützen. Die Vulnerability ermöglicht es einem Angreifer, diese Schutzmechanismen zu umgehen und Daten direkt auf Disk zu modifizieren — ohne Kernel-Log-Einträge zu hinterlassen. Die Ausnutzung erfordert lediglich Lesezugriff auf eine Zieldatei und die Möglichkeit, ein Reflink-Abbild in einem beschreibbaren Verzeichnis zu erstellen. Qualys vergibt eine CVSS-Bewertung von 7,8 (hoch).
Hardening-Maßnahmen wie Kernel Address Space Layout Randomization (KASLR), Supervisor Mode Access Prevention (SMAP), Kernel Lockdown oder SELinux bieten keinen Schutz gegen diese Ausnutzung. Auch seccomp-Profile sind ineffektiv, da sie Schreib- und ioctl-Operationen typischerweise zulassen. Der Exploit ist hochzuverlässig und erzeugt keine erkennbaren Spuren im Kernel-Log.
Ein Patch wurde am 16. Juli 2024 als Commit „2f4acd0″ in den upstream Linux-Kernel integriert. Linux-Distributoren haben damit begonnen, den Fix in ihre unterstützten Kernel-Versionen zu integrieren. Organisationen sollten sofort verfügbare Kernel-Updates ihrer Linux-Hersteller einspielen und betroffene Systeme neu starten. Eine sofortige Kernel-Aktualisierung und ein vollständiger Neustart sind die einzig zuverlässigen Mitigationen.
Quelle: www.csoonline.com · Erschienen 23. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.