Rechteausweitung RefluXFS gefährdet Linux-Systeme mit XFS-Dateisystem

Eine Schwachstelle im Linux-Kernel namens RefluXFS ermöglicht lokalen Nutzern Root-Rechte auf XFS-Dateisystemen. Patches stehen zur Verfügung.

Sicherheitsforscher des Unternehmens Qualys haben unter der Bezeichnung RefluXFS beziehungsweise CVE-2026-64600 eine Sicherheitslücke im Linux-Kernel offengelegt. Die Schwachstelle betrifft Linux-Kernel ab Version 4.11 aus dem Jahr 2017 und ermöglicht lokalen Nutzern eine Ausweitung von Zugriffsrechten auf Root-Ebene. Der Fehler tritt auf XFS-Dateisystemen auf, bei denen die Funktion reflink aktiviert ist. Über den Systemaufruf FICLONE und parallele O_DIRECT-Schreibzugriffe wird eine Wettlaufsituation (Race Condition) erzeugt, durch die Speicherblöcke fehlerhaft zugeordnet werden.

In der Entwicklerdokumentation des Upstream-Patches wird der Fehler wie folgt beschrieben:„Die Zuordnungen sind veraltet, sobald wir den ILOCK wiedererlangen.“ Durch den veralteten Adresszeiger schreiben direkte E/A-Zugriffe Daten in Blöcke, die geschützten Systemdateien wie /etc/passwd oder Programmen mit Setuid-Root-Rechten gehören. Da die Schreibzugriffe auf Blockebene erfolgen, bleiben Dateiberechtigungen, Zeitstempel und Dateieigentümer unverändert, und es werden keine Kernel-Warnungen erzeugt.

Entdeckung durch KI-Modell und betroffene Linux-Distributionen

Nach Angaben von Qualys wurde die Schwachstelle mithilfe des KI-Modells Claude Mythos Preview von Anthropic identifiziert. Das Forschungsteam wies das System an, nach bestimmten Fehlermustern im Kernel-Quelltext zu suchen.

Das Modell lokalisierte die Wettlaufsituation und erstellte eine funktionierende Demonstration zur Rechteausweitung. Betroffen sind Standardinstallationen von Distributionen, die XFS standardmäßig mit reflink=1 auf der Root-Partition nutzen. Dazu zählen Red Hat Enterprise Linux ab Version 8, Fedora Server ab Version 31, Amazon Linux 2023 sowie CentOS Stream, Oracle Linux, Rocky Linux und AlmaLinux. Distributionen wie Debian, Ubuntu oder openSUSE sind in der Standardkonfiguration nicht betroffen, da sie XFS nicht als Standard-Dateisystem für die Systempartition verwenden.

Verfügbarkeit von Kernel-Updates und fehlende Ausweichlösungen

Der Upstream-Patch für den Linux-Kernel wurde am 16. Juli 2026 integriert. Hersteller wie Red Hat und Debian haben aktualisierte Kernel-Pakete für betroffene Veröffentlichungen bereitgestellt. Konfigurationsseitige Ausweichlösungen über Sysctl-Parameter oder Mount-Optionen stehen nicht zur Verfügung. Um die Schwachstelle zu beheben, müssen die aktualisierten Kernel-Pakete installiert und die betroffenen Systeme anschließend neu gestartet werden.

(red)