Vulnerabilidad de RefluXFS permite acceso root en RHEL por defecto
Publicado el
Resumen de la vulnerabilidad RefluXFS
La vulnerabilidad RefluXFS, detectada en el núcleo de Linux y registrada como CVE-2026-64600, permite a usuarios locales no privilegiados sobrescribir archivos propiedad de root en sistemas de archivos XFS. Este fallo, revelado el 22 de julio de 2026, afecta principalmente a Red Hat Enterprise Linux (RHEL) y sus derivados, como Fedora Server y Amazon Linux.
Detalles técnicos
La explotación de esta vulnerabilidad requiere que el sistema esté ejecutando Linux 4.11 o versiones posteriores sin el parche de RefluXFS aplicado. Además, es necesario que el sistema de archivos XFS se haya creado con la opción reflink=1 y que el archivo objetivo y un directorio escribible por el atacante estén en el mismo sistema de archivos XFS. La empresa Qualys ha indicado que los sistemas expuestos son aquellos donde se puede ejecutar código no confiable localmente, ya sea a través de un shell, un trabajo de integración continua o un servicio comprometido.
Sistemas afectados
Los sistemas que cumplen con los criterios de vulnerabilidad incluyen: - Red Hat Enterprise Linux - CentOS Stream - Oracle Linux - Rocky Linux - AlmaLinux y CloudLinux (versiones 8, 9 y 10) - Fedora Server (31 y posteriores) - Amazon Linux 2023 y Amazon Linux 2 (imágenes desde diciembre de 2022)
Es importante mencionar que las instalaciones de RHEL 7 no están afectadas, ya que estas versiones no soportan XFS reflink. Los sistemas como Debian, Ubuntu, SLES y openSUSE no utilizan generalmente XFS para el sistema de archivos raíz de forma predeterminada, a menos que un administrador lo configure durante la instalación.
Proceso de explotación
El proceso de explotación implica que un atacante clone un archivo propiedad de root en un archivo temporal utilizando FICLONE. Este método requiere únicamente acceso de lectura al archivo original y luego provoca una carrera mediante escrituras concurrentes O_DIRECT contra el archivo clonado. Los reflinks de XFS utilizan copy-on-write, lo que significa que ambos archivos inicialmente referencian los mismos bloques de disco físico.
Cuando el núcleo intenta leer el mapeo de datos bajo un bloqueo de inode, se pueden producir condiciones de carrera que permiten que el segundo escritor complete la operación de copia en escritura, lo que resulta en que el archivo clonado pueda referenciar un nuevo bloque. Esto provoca que los datos destinados al archivo temporal terminen en el archivo objetivo, permitiendo así al atacante obtener acceso root.
Soluciones y parches
El parche para esta vulnerabilidad fue implementado el 16 de julio y los proveedores de Linux han comenzado a distribuir kernels retroportados. Se recomienda a los administradores de sistemas que apliquen los parches lo antes posible, priorizando los sistemas expuestos y aquellos que operan en entornos multi-inquilino.
Red Hat ha emitido advisories de seguridad de importancia alta para las versiones afectadas de RHEL 8, 9 y 10, comenzando con la errata RHSA-2026:39179 para RHEL 8 y RHSA-2026:39494 para RHEL 10. Se deben revisar las advisories específicas para cada versión y asegurarse de aplicar el parche correspondiente.
Conclusión
La identificación de la vulnerabilidad RefluXFS destaca la importancia de mantener los sistemas actualizados y de estar al tanto de los parches de seguridad. La pronta acción en la aplicación de estos parches puede prevenir accesos no autorizados y proteger la integridad de los sistemas afectados.