Lỗ hổng kernel Linux XFS reflink cho phép leo thang đặc quyền lên root trên hệ RHEL mặc định
"A Linux kernel XFS reflink race condition tracked as CVE-2026-64600 allows an unprivileged local user to overwrite root-owned files and gain persistent root access on systems using reflink-enabled XFS filesystems. The issue affects default installs of several RHEL-derived distributions and some Amazon Linux/Fedora configurations; vendors have shipped backported kernel fixes, and affected systems must reboot into the patched kernel."
Lỗi cho phép leo thang đặc quyền lên root từ người dùng cục bộ và duy trì quyền sau reboot do ghi đè ở tầng block. Tác động nghiêm trọng vì không có biện pháp tạm thời để tắt reflink hiệu quả sau khi filesystem đã tạo.
Nguy cơ ảnh hưởng đến các hệ multi-tenant hoặc nơi có mã không tin cậy chạy cục bộ (shell/CI/dịch vụ bị xâm nhập). Chi phí xử lý chủ yếu là áp kernel đã vá và reboot theo lịch, đồng thời rà soát phạm vi theo phiên bản phát hành.
Ngày 22/7/2026, một lỗi kernel Linux liên quan XFS reflink được công bố và gắn mã CVE-2026-64600. Lỗi dạng race condition có thể cho phép người dùng cục bộ không đặc quyền ghi đè tệp thuộc root và đạt quyền root tồn tại sau khi khởi động lại trên các hệ thống dùng XFS có bật reflink.
Qualys cho biết các bản cài mặc định của RHEL và một số bản phân phối dẫn xuất như Fedora Server và Amazon Linux có thể thỏa điều kiện khai thác. Nhà cung cấp đã hợp nhất bản vá vào ngày 16/7 và bắt đầu phát hành kernel đã backport; người dùng cần reboot để chạy kernel đã vá.
Điều kiện khai thác gồm: hệ chạy Linux 4.11+ nhưng chưa có fix; filesystem XFS được tạo với reflink=1; và tệp mục tiêu đọc được cùng thư mục do attacker ghi nằm trên cùng một XFS. Không có cấu hình tạm thời vô hiệu hóa reflink sau khi tạo filesystem; các cơ chế như SELinux, seccomp, kernel lockdown và ranh giới container được báo cáo là không chặn được trong thử nghiệm.
Khuyến nghị: kiểm tra reflink=1 bằng xfs_info / | grep reflink=; đối chiếu advisory theo đúng phiên bản; áp dụng errata và xác minh kernel đang chạy sau khi reboot.