Critical RefluXFS Linux Kernel Flaw Lets Local Attackers Gain Root Access
2026/07/23 gbhackers — Linux カーネルに存在する深刻な脆弱性 CVE-2026-64600 に対して、RefluXFS という名が与えられた。この脆弱性を悪用する権限を持たないローカルユーザーは、reflink が有効化された XFS ファイル・システムを利用するシステム上で root アクセスを取得できる。この欠陥は XFS の Copy-on-Write パスに存在し、2017 年にリリースされた Linux カーネル・バージョン 4.11 以降に存在していたと報告されている。
Qualys Threat Research Unit は、1,640 万台超のシステムが影響を受ける可能性があると推定している。そのため、エンタープライズの Linux 管理者にとって、迅速な特定／パッチ適用／再起動が最優先事項となる。
重大な RefluXFS Linux カーネル欠陥
RefluXFS は、reflink されたファイルに関係し、同時ダイレクト I/O 操作中に発生するレース・コンディションである。脆弱な条件下では、XFS がトランザクション・ログ領域を待機し、inode lock が短時間解放された後に、攻撃者が提供する古い物理ブロック情報が、ファイル・システムで使用される可能性がある。
この間に、2 回目の write 操作により、block mapping と reference count が変更される。その後に操作が再開されるときに、共有ブロックが誤ってプライベートとして扱われ、そのブロックへの直接の書き込みが生じる可能性がある。これにより、侵害された XFS ボリューム上において読み取りが可能なファイルに影響を及ぼす、任意のオンディスク上書きの手法が生じる。
この手法を悪用して Qualys が実証したのは、”/etc/passwd” や SUID-root 実行ファイルといった重要ファイルを変更することで、ホストレベルの root アクセスを達成できることだ。
この write 操作は、標準的なファイルシステム割り当てを通じて block layer で発生するため、それらの悪意の変更は再起動後も永続化し、カーネルログ上にアーティファクトを生成しない可能性がある。
通常のハードニング設定下でも、この悪用は成功すると報告されているため、深刻な懸念が生じている。その設定には、SELinux の Enforcing mode も含まれる。
この問題が発生する状況は、ホストが未パッチの Linux カーネル・バージョン 4.11 以降を実行している場合となる。さらに、reflink が有効化された XFS ファイルシステムを使用し、ローカルの権限を持たないユーザーが、書き込み可能なディレクトリを有している必要がある。
RHEL／CentOS Stream／Oracle Linux／Rocky Linux／AlmaLinux／CloudLinux／Amazon Linux／Fedora Server 31 以降などのディストリビューション全体で、Qualys はこの脆弱性を確認した。Debian／Ubuntu／SUSE システムにおいても、管理者が reflink サポート付きの XFS を選択している場合には、リスクにさらされる可能性がある。
既存の緩和策が提供する保護は限定的である。KASLR／SMEP／SMAP／kernel lockdown／コンテナ capability 制御／user namespaces／ハードニング済みメモリアロケータなどの手法により、システムの各レイヤでの対処が実施される。しかし、欠陥のある XFS 割り当てシーケンスは防止されない。
SELinux と一般的な seccomp プロファイルも、通常の write 操作と ioctl 操作が許可されるため、この攻撃経路を確実に阻止できない。したがって、管理者はコンフィグのハードニングを有効な修復の代替と見なすべきではない。
影響を受けるディストリビューション全体で、ベンダーが修正したカーネルが、すでに提供され、バックポートされている。ユーザー組織にとって必要なことは、Linux エンドポイントのインベントリを行い、インターネットに公開されたシステム／マルチテナントシステム／共有ホスト環境などを優先し、必要なベンダー・カーネル更新をインストールすることだ。その上で、パッチ適用済みカーネルを有効化するための再起動を実施すべきである。
Qualys の顧客は、アクティブなカーネル・バージョンを特定するために QID 45097 を使用できる。その一方で、専用の RefluXFS 検出シグネチャが、Qualys Vulnerability KnowledgeBase で展開され始めている。
初期のコード監査支援に Anthropic の Claude Mythos Preview を利用した Qualys は、専門家主導の研究ワークフローを通じて、この問題が発見されたと述べている。
研究者は、この欠陥を独自に再現／検証し、公式の情報が公開される前に責任を持って開示した。基盤となるファイルシステム・コードにおけるローカル権限昇格の脆弱性が、安全とされる Linux デプロイメントを危険にさらす可能性がある。防御側にとって重要なことは、継続的な可視性の確保とタイムリーなカーネルパッチの適用である。
訳者後書：Linux カーネルのファイル管理機能において、処理が重なるタイミングの不備に起因する深刻な脆弱性 CVE-2026-64600 が公表されました。権限を持たない利用者であっても、システム上の重要な情報を書き換え、管理者の権限を奪ってしまう危険性があります。一般的な保護設定だけでは悪用を防ぎきれないため、安全に利用するためにも、各開発元から提供される修正済みのプログラムへ速やかに更新し、システムを再起動して新しい状態を反映させることが必要です。
IoT OT Security News 
You must be logged in to post a comment.