BEDROHUNG
Eine neun Jahre alte, als „RefluXFS“ bezeichnete Schwachstelle im Linux-Kernel kann lokalen, unprivilegierten Angreifern eine Privilege-Escalation bis zur Erlangung von Root-Rechten ermöglichen.
Ursache der als CVE-2026-64600 geführten Schwachstelle ist eine Race-Condition im Copy-on-Write-Pfad des XFS-Dateisystems. Nach Informationen der Qualys Threat Research Unit (TRU) kann ein Angreifer eine geschützte Datei wie /etc/passwd oder eine SUID-root-Binärdatei per Reflink in eine eigene temporäre Datei klonen und anschließend konkurrierende Direct-I/O-Schreibvorgänge auslösen. Durch ein Zeitfenster in der Speicherblock-Zuweisung kann einer dieser Schreibvorgänge im physischen Block landen, der noch immer die ursprüngliche Datei enthält.
Da die Änderung direkt auf der Festplatte vorgenommen wird, bleibt sie auch nach einem Neustart bestehen und erzeugt laut Qualys auch keine Kernel-Logausgabe. Weil die Schwachstelle auf der Dateisystem- beziehungsweise Blockzuweisungsebene greift, verhindern klassische Schutzmaßnahmen wie SELinux, Kernel-Lockdown oder Speicherhärtungen den Angriff nicht zuverlässig. Voraussetzung für eine erfolgreiche Ausnutzung ist ein ungepatchter Linux-Kernel in Version 4.11 (oder neuer), ein aktiver XFS-Reflink sowie eine für lokale Nutzer beschreibbare Umgebung auf demselben Dateisystem.
Die Schwachstelle wurde durch eine Zusammenarbeit von Qualys und Anthropic entdeckt und betrifft schätzungsweise mehr als 16,4 Millionen Systeme, insbesondere Enterprise-Distributionen. Administratoren wird empfohlen, umgehend auf den gepatchten Kernel zu aktualisieren, Unternehmensdistributionen stellen zurückportierte Kernel-Updates bereit.
Was jetzt zu tun ist:
- umgehend Kernel patchen und System rebooten
PRÄVENTION & DETEKTION
Ein kontinuierliches Schwachstellenmanagement stellt sicher, dass sicherheitsrelevante Updates zeitnah identifiziert werden, wodurch die Angriffsfläche reduziert und die Ausnutzung kritischer Sicherheitslücken wie in FortiSandbox verhindert werden kann.
Autor: Michael Niers
