RefluXFS: Kernel-Bug verleiht auf Millionen von Linux-Systemen Root-Zugriff
Sicherheitsforscher von Qualys haben mithilfe von Claude Mythos eine neun Jahre alte und RefluXFS genannte Sicherheitslücke im Linux-Kernel entdeckt, mit der Angreifer durch das überschreiben geschützter Dateien Root-Zugriff erlangen können. Viele Linux-Distributionen sind in der Standardkonfiguration angreifbar, darunter Red Hat Enterprise Linux (RHEL), CentOS, Fedora und Oracle Linux. Admins sollten ihre Systeme absichern.
Die besagte Sicherheitslücke ist als CVE-2026-64600(öffnet im neuen Fenster) registriert und basiert laut Blogbeitrag der Qualys-Forscher(öffnet im neuen Fenster) auf einer Race Condition im Copy-on-Write-Pfad des XFS-Dateisystems. Angreifer mit einfachen Benutzerrechten können damit den Angaben zufolge Inhalte beliebiger lesbarer Dateien auf Blockebene überschreiben.
Damit lässt sich CVE-2026-64600 unter anderem für eine Rechteausweitung auf Root ausnutzen. Die Forscher demonstrieren dies in einem kurzen Videoclip(öffnet im neuen Fenster) am Beispiel eines Exploits, der den Passwortschutz des Root-Kontos auf einem RHEL-System aushebelt, indem er die Datei /etc/passwd in Teilen überschreibt. Der Angreifer erhält daraufhin Root-Zugriff, ohne das zugehörige Passwort eingeben zu müssen.
Millionen von Systemen betroffen
Nach Angaben der Forscher überdauert der Eingriff des Exploits auch Neustarts, so dass der Angreifer den Root-Zugriff nach dem Reboot eines Zielsystems beliebig weiternutzen kann, solange kein Administrator den ausgehebelten Passwortschutz bemerkt und ihn korrigiert. Zudem hinterlässt der Angriff wohl keinerlei Spuren im Kernel-Log.
Für CVE-2026-64600 anfällig sind alle Linux-Kernel ab Version 4.11, welche im April 2017 veröffentlicht wurde. Voraussetzung ist jedoch, dass ein anvisiertes Linux-System über ein XFS-Volume mit aktiver Reflink-Funktion verfügt. Auch Installationen mit SELinux im Enforcing-Modus(öffnet im neuen Fenster) sollen betroffen sein. Die Qualys-Forscher listen mehrere Versionen von RHEL, CentOS, Oracle Linux, Rocky Linux, Almalinux, Cloudlinux, Amazon Linux und Fedora auf, die damit als anfällig gelten.
Debian, Ubuntu und Suse sind den Angaben zufolge ebenfalls angreifbar, sofern bei der Installation manuell XFS als Dateisystem ausgewählt und die Reflink-Funktion aktiviert wird. Laut Hochrechnungen der Sicherheitsforscher sollen weltweit potenziell über 16,4 Millionen Linux-Systeme für CVE-2026-64600 anfällig sein.
Patch wird verteilt
Wer sich für weitere technische Details zum RefluXFS-Angriff interessiert, findet diese in einem separaten Bericht der Qualys-Forscher(öffnet im neuen Fenster). Ein Patch(öffnet im neuen Fenster) wurde demnach am 16. Juli in die Codebasis des Linux-Kernels aufgenommen. Nun obliegt es den Maintainern der jeweiligen Distributionen(öffnet im neuen Fenster), diesen Patch an Nutzer weiterzureichen, was bisher(öffnet im neuen Fenster) jedoch nur teilweise(öffnet im neuen Fenster) geschehen ist(öffnet im neuen Fenster).
Die Forscher behaupten, es gebe keinen alternativen Workaround, der zuverlässig vor CVE-2026-64600 schütze. Red Hat hat allerdings in einem eigenen Advisory(öffnet im neuen Fenster) ein Skript veröffentlicht, welches durchaus schützen soll. Das bringt jedoch im Vergleich zum Patch einige Nachteile mit sich. Dazu zählt etwa, dass die Mitigation bei Neustarts ihre Wirkung verliert und erneut angewendet werden muss. Zudem kann sie bei auf Reflink-Operationen angewiesenen Anwendungen zu Fehlern führen.
Am Dienstag hatten die Qualys-Forscher vor einer anderen Root-Lücke gewarnt, die ebenfalls auf Race Conditions basiert und zahlreiche Linux-Systeme betrifft. Diese Lücke wirkt sich jedoch hauptsächlich auf Ubuntu-Systeme aus und klafft nicht im Linux-Kernel, sondern in der Paketverwaltung Snap.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.