⚡ Não perca: notícia importante no ar! ⚡
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
RefluXFS, uma nova falha do kernel Linux divulgada em 22 de julho e rastreada como CVE-2026-64600, permite que um usuário local sem privilégios sobrescreva arquivos de propriedade do root em um sistema de arquivos XFS e obtenha acesso root persistente.
Qualys disse que as instalações padrão do Red Hat Enterprise Linux e seus derivados, Fedora Server e Amazon Linux podem atender às condições de exploração.
A empresa demonstrou a corrida contra os binários /etc/passwd e setuid-root. A substituição chega à camada de bloco. Ele sobrevive a uma reinicialização e deixa a propriedade, as permissões, os carimbos de data e hora e o bit setuid do alvo intactos, portanto, um binário setuid-root modificado ainda é executado como root.
A correção foi incorporada em 16 de julho, e os fornecedores de Linux começaram a enviar kernels backportados. O patch rastreia o bug até o Linux 4.11 em 2017: uma correção: commit de nomenclatura de tag 3c68d44a2b49 e uma solicitação de backport estável marcada como # v4.11.
Quem está exposto
A exploração requer três condições:
O sistema executa Linux 4.11 ou posterior sem a correção RefluXFS.
O sistema de arquivos XFS foi criado com reflink=1.
O alvo legível e um diretório gravável pelo invasor estão no mesmo sistema de arquivos XFS.
A Qualys disse primeiro corrigir sistemas expostos e multilocatários, o que significa qualquer host XFS habilitado para reflink onde código não confiável pode ser executado localmente, seja por meio de um shell, um trabalho de CI ou um serviço comprometido.
O comunicado lista as instalações padrão que podem atender a essas condições: Red Hat Enterprise Linux, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux e CloudLinux 8, 9 e 10, Fedora Server 31 e posterior, Amazon Linux 2023 e imagens do Amazon Linux 2 de dezembro de 2022 em diante. Os sistemas de arquivos RHEL 7 não são afetados porque são anteriores ao suporte ao reflink do XFS.
Debian, Ubuntu, SLES e openSUSE geralmente não usam XFS como sistema de arquivos raiz por padrão. Eles serão expostos somente se um administrador escolher XFS com reflink habilitado no momento da instalação.
Verifique o sistema de arquivos raiz:
xfs_info / | grep linkref =
reflink=1 significa que a condição dois foi atendida. Execute a mesma verificação em qualquer outro volume XFS montado onde um arquivo protegido e um diretório gravável pelo invasor compartilhem o sistema de arquivos.
O mapeamento obsoleto
Um invasor clona um arquivo de propriedade da raiz em um arquivo temporário com FICLONE, que precisa apenas de acesso de leitura na origem e, em seguida, executa gravações O_DIRECT simultâneas no clone. Os reflinks XFS usam cópia na gravação, portanto, ambos os arquivos inicialmente fazem referência aos mesmos blocos de disco físico.
O kernel lê o mapeamento da bifurcação de dados sob o bloqueio do inode e o entrega para xfs_reflink_fill_cow_hole(), que faz o ciclo desse bloqueio para reservar espaço de transação.
Um segundo gravador pode concluir a operação de cópia na gravação durante esse intervalo e remapear o arquivo clonado para um novo bloco. Quando o primeiro gravador readquire o bloqueio, ele atualiza a bifurcação de cópia na gravação, mas continua usando o mapeamento antigo da bifurcação de dados.
O patch upstream descreve a falha claramente: “os mapeamentos ficam obsoletos assim que readquirimos o ILOCK”.
Esse endereço obsoleto agora aponta para um bloco pertencente apenas ao arquivo protegido original. O XFS vê o bloco como não compartilhado e permite a gravação direta, de modo que os dados destinados ao clone do invasor chegam ao alvo.
É um erro de verificação e uso em um ciclo de bloqueio. A própria consulta de status compartilhado está correta; o que ele consulta é um endereço de bloco capturado antes da liberação do bloqueio.
O Hacker News descobriu que o patch atinge dois ajudantes, xfs_reflink_fill_cow_hole() e xfs_reflink_fill_delalloc(). O segundo carrega o mesmo padrão de ciclo de bloqueio e não aparece no comunicado da Qualys. Em ambos, a correção captura instantâneos ip->i_df.if_seq antes que o bloqueio seja eliminado e relê a bifurcação de dados com xfs_bmapi_read() se o contador for movido.
A E/S direta ignora o cache da página e não possui gancho de revalidação, portanto a gravação chega ao disco. Como ele ignora totalmente o inode de destino, os metadados nunca mudam, e os pesquisadores disseram que seus testes não produziram nenhum aviso do kernel ou entrada de log.
Na máquina de testes, a corrida geralmente era vencida em menos de dez segundos. A demonstração publicada remove a senha root em uma caixa RHEL 10.2 padrão.
Qualys disse que um modelo de IA encontrou a falha. A empresa apontou o Claude Mythos Preview, o modelo de fronteira de acesso restrito da Anthropic, para o kernel e, de acordo com seu aconselhamento técnico, “pediu-lhe para encontrar uma vulnerabilidade semelhante ao Dirty COW”.
O modelo localizou a corrida, escreveu um exploit de root funcional e redigiu o comunicado. Os pesquisadores então o reproduziram em uma instalação padrão do Fedora Server 44, verificaram o raciocínio do modelo e coordenaram a divulgação upstream.
Não é o primeiro bug antigo do kernel da equipe neste ano. Qualys tem encontrado muitos deles. Um dia antes, foi divulgada uma falha snap-confine no Ubuntu Desktop, CVE-2026-8933, onde duas corridas permitem que um usuário local obtenha root em instalações padrão. Em maio, ele encontrou um bug de nove anos nas verificações ptrace do kernel.
Patch e, em seguida, reinicie
Red Hat emitiu rato importante
Qualys disse que as instalações padrão do Red Hat Enterprise Linux e seus derivados, Fedora Server e Amazon Linux podem atender às condições de exploração.
A empresa demonstrou a corrida contra os binários /etc/passwd e setuid-root. A substituição chega à camada de bloco. Ele sobrevive a uma reinicialização e deixa a propriedade, as permissões, os carimbos de data e hora e o bit setuid do alvo intactos, portanto, um binário setuid-root modificado ainda é executado como root.
A correção foi incorporada em 16 de julho, e os fornecedores de Linux começaram a enviar kernels backportados. O patch rastreia o bug até o Linux 4.11 em 2017: uma correção: commit de nomenclatura de tag 3c68d44a2b49 e uma solicitação de backport estável marcada como # v4.11.
Quem está exposto
A exploração requer três condições:
O sistema executa Linux 4.11 ou posterior sem a correção RefluXFS.
O sistema de arquivos XFS foi criado com reflink=1.
O alvo legível e um diretório gravável pelo invasor estão no mesmo sistema de arquivos XFS.
A Qualys disse primeiro corrigir sistemas expostos e multilocatários, o que significa qualquer host XFS habilitado para reflink onde código não confiável pode ser executado localmente, seja por meio de um shell, um trabalho de CI ou um serviço comprometido.
O comunicado lista as instalações padrão que podem atender a essas condições: Red Hat Enterprise Linux, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux e CloudLinux 8, 9 e 10, Fedora Server 31 e posterior, Amazon Linux 2023 e imagens do Amazon Linux 2 de dezembro de 2022 em diante. Os sistemas de arquivos RHEL 7 não são afetados porque são anteriores ao suporte ao reflink do XFS.
Debian, Ubuntu, SLES e openSUSE geralmente não usam XFS como sistema de arquivos raiz por padrão. Eles serão expostos somente se um administrador escolher XFS com reflink habilitado no momento da instalação.
Verifique o sistema de arquivos raiz:
xfs_info / | grep linkref =
reflink=1 significa que a condição dois foi atendida. Execute a mesma verificação em qualquer outro volume XFS montado onde um arquivo protegido e um diretório gravável pelo invasor compartilhem o sistema de arquivos.
O mapeamento obsoleto
Um invasor clona um arquivo de propriedade da raiz em um arquivo temporário com FICLONE, que precisa apenas de acesso de leitura na origem e, em seguida, executa gravações O_DIRECT simultâneas no clone. Os reflinks XFS usam cópia na gravação, portanto, ambos os arquivos inicialmente fazem referência aos mesmos blocos de disco físico.
O kernel lê o mapeamento da bifurcação de dados sob o bloqueio do inode e o entrega para xfs_reflink_fill_cow_hole(), que faz o ciclo desse bloqueio para reservar espaço de transação.
Um segundo gravador pode concluir a operação de cópia na gravação durante esse intervalo e remapear o arquivo clonado para um novo bloco. Quando o primeiro gravador readquire o bloqueio, ele atualiza a bifurcação de cópia na gravação, mas continua usando o mapeamento antigo da bifurcação de dados.
O patch upstream descreve a falha claramente: “os mapeamentos ficam obsoletos assim que readquirimos o ILOCK”.
Esse endereço obsoleto agora aponta para um bloco pertencente apenas ao arquivo protegido original. O XFS vê o bloco como não compartilhado e permite a gravação direta, de modo que os dados destinados ao clone do invasor chegam ao alvo.
É um erro de verificação e uso em um ciclo de bloqueio. A própria consulta de status compartilhado está correta; o que ele consulta é um endereço de bloco capturado antes da liberação do bloqueio.
O Hacker News descobriu que o patch atinge dois ajudantes, xfs_reflink_fill_cow_hole() e xfs_reflink_fill_delalloc(). O segundo carrega o mesmo padrão de ciclo de bloqueio e não aparece no comunicado da Qualys. Em ambos, a correção captura instantâneos ip->i_df.if_seq antes que o bloqueio seja eliminado e relê a bifurcação de dados com xfs_bmapi_read() se o contador for movido.
A E/S direta ignora o cache da página e não possui gancho de revalidação, portanto a gravação chega ao disco. Como ele ignora totalmente o inode de destino, os metadados nunca mudam, e os pesquisadores disseram que seus testes não produziram nenhum aviso do kernel ou entrada de log.
Na máquina de testes, a corrida geralmente era vencida em menos de dez segundos. A demonstração publicada remove a senha root em uma caixa RHEL 10.2 padrão.
Qualys disse que um modelo de IA encontrou a falha. A empresa apontou o Claude Mythos Preview, o modelo de fronteira de acesso restrito da Anthropic, para o kernel e, de acordo com seu aconselhamento técnico, “pediu-lhe para encontrar uma vulnerabilidade semelhante ao Dirty COW”.
O modelo localizou a corrida, escreveu um exploit de root funcional e redigiu o comunicado. Os pesquisadores então o reproduziram em uma instalação padrão do Fedora Server 44, verificaram o raciocínio do modelo e coordenaram a divulgação upstream.
Não é o primeiro bug antigo do kernel da equipe neste ano. Qualys tem encontrado muitos deles. Um dia antes, foi divulgada uma falha snap-confine no Ubuntu Desktop, CVE-2026-8933, onde duas corridas permitem que um usuário local obtenha root em instalações padrão. Em maio, ele encontrou um bug de nove anos nas verificações ptrace do kernel.
Patch e, em seguida, reinicie
Red Hat emitiu rato importante
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #falha #do #refluxfs #linux #de #nove #anos #fornece #root #aos #usuários #locais #em #instalações #padrão #do #rhel
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário