⚡ Não perca: notícia importante no ar! ⚡
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma vulnerabilidade de condição de corrida de nove anos no sistema de arquivos XFS do kernel Linux, rastreada como CVE-2026-64600, permite que invasores locais sobrescrevam arquivos protegidos e obtenham privilégios de root.
Chamada de RefluXFS pela Qualys Threat Research Unit (TRU), que a encontrou e relatou, a falha de segurança afeta sistemas com um sistema de arquivos XFS com reflink habilitado (uma configuração padrão nas principais distribuições empresariais do Linux), executando o kernel Linux v4.11 ou posterior, com um diretório gravável por um usuário local sem privilégios e um alvo de alto valor (um arquivo de configuração de propriedade da raiz ou binário raiz SUID).
Além disso, as defesas padrão (incluindo o módulo de segurança do kernel Linux SELinux com segurança aprimorada, bloqueio do kernel, mecanismos de isolamento de contêiner e recursos de proteção de memória como KASLR, SMEP e SMAP) não bloqueiam ataques RefluXFS porque a falha opera na camada de alocação do sistema de arquivos, abaixo de onde essas proteções se aplicam.
De acordo com a Qualys, a exploração é altamente confiável, não deixa saída de log do kernel e a modificação no disco sobrevive à reinicialização do sistema.
“O invasor clona reflink um arquivo de destino (por exemplo, /etc/passwd, ou um binário raiz SUID, como /usr/bin/su) em um arquivo de rascunho de sua propriedade e, em seguida, executa gravações O_DIRECT simultâneas nesse arquivo de rascunho”, explica a equipe Qualys TRU em um artigo técnico detalhado publicado na quarta-feira.
"Uma janela de bloqueio no caminho de alocação de cópia na gravação do kernel permite que uma dessas gravações chegue, não ao próprio armazenamento do invasor, mas ao bloco físico que ainda faz backup do arquivo original. A alteração é feita diretamente no disco, persiste durante a reinicialização, não produz saída de log do kernel e não toca no inode do arquivo de destino - portanto, um binário raiz SUID modificado mantém seu bit SUID. "
O RefluXFS existe desde a versão 4.11 do kernel, após ser introduzido em fevereiro de 2017 pelo commit 3c68d44a2b49. Ele está presente em todos os kernels principais e estáveis desde então e foi corrigido em 16 de julho após o commit 2f4acd0 ter sido mesclado na árvore de origem do kernel Linux.
A lista de distribuições Linux afetadas inclui Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux e Fedora, bem como CentOS Stream, Rocky Linux, AlmaLinux e CloudLinux.
A Qualys estima que isso afete potencialmente mais de 16,4 milhões de sistemas com base na análise usando seu software de gerenciamento de ativos de segurança cibernética.
Saeed Abbasi, chefe da Unidade de Pesquisa de Ameaças da Qualys, diz que a descoberta surgiu de uma iniciativa de pesquisa entre a Qualys e a Anthropic, na qual os pesquisadores integraram o modelo de IA Claude Mythos Preview em seu fluxo de trabalho de auditoria manual.
O Claude Mythos Preview foi encarregado de procurar uma condição de corrida semelhante à classe de vulnerabilidade “Dirty COW” e, após refinamento iterativo, identificou a falha no XFS e gerou uma prova de conceito funcional. Abbasi acrescentou que os pesquisadores de segurança da Qualys revisaram o raciocínio do modelo, reproduziram a exploração e verificaram de forma independente todas as alegações técnicas antes de coordenar a divulgação com os mantenedores do kernel.
“Recomenda-se a correção imediata do kernel para neutralizar esta vulnerabilidade. A exploração é bem-sucedida de forma consistente sob configurações de proteção padrão, e a modificação no disco sobrevive à reinicialização do sistema”, disse Abbasi.
"Os kernels corrigidos pelo fornecedor agora estão disponíveis e sendo portados para distribuições corporativas. As organizações devem priorizar a correção de sistemas expostos e multilocatários e garantir uma reinicialização para verificar a atualização. No momento, não há mitigações confiáveis ou práticas ou alterações temporárias de configuração disponíveis."
RefluXFS é a mais recente de uma longa série de vulnerabilidades de escalonamento de privilégios do Linux divulgadas desde o início do ano, incluindo CIFSwitch, PinTheft, Copy Fail, Dirty Frag, Fragnesia, Pack2TheRoot e DirtyDecrypt/DirtyCBC.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
Chamada de RefluXFS pela Qualys Threat Research Unit (TRU), que a encontrou e relatou, a falha de segurança afeta sistemas com um sistema de arquivos XFS com reflink habilitado (uma configuração padrão nas principais distribuições empresariais do Linux), executando o kernel Linux v4.11 ou posterior, com um diretório gravável por um usuário local sem privilégios e um alvo de alto valor (um arquivo de configuração de propriedade da raiz ou binário raiz SUID).
Além disso, as defesas padrão (incluindo o módulo de segurança do kernel Linux SELinux com segurança aprimorada, bloqueio do kernel, mecanismos de isolamento de contêiner e recursos de proteção de memória como KASLR, SMEP e SMAP) não bloqueiam ataques RefluXFS porque a falha opera na camada de alocação do sistema de arquivos, abaixo de onde essas proteções se aplicam.
De acordo com a Qualys, a exploração é altamente confiável, não deixa saída de log do kernel e a modificação no disco sobrevive à reinicialização do sistema.
“O invasor clona reflink um arquivo de destino (por exemplo, /etc/passwd, ou um binário raiz SUID, como /usr/bin/su) em um arquivo de rascunho de sua propriedade e, em seguida, executa gravações O_DIRECT simultâneas nesse arquivo de rascunho”, explica a equipe Qualys TRU em um artigo técnico detalhado publicado na quarta-feira.
"Uma janela de bloqueio no caminho de alocação de cópia na gravação do kernel permite que uma dessas gravações chegue, não ao próprio armazenamento do invasor, mas ao bloco físico que ainda faz backup do arquivo original. A alteração é feita diretamente no disco, persiste durante a reinicialização, não produz saída de log do kernel e não toca no inode do arquivo de destino - portanto, um binário raiz SUID modificado mantém seu bit SUID. "
O RefluXFS existe desde a versão 4.11 do kernel, após ser introduzido em fevereiro de 2017 pelo commit 3c68d44a2b49. Ele está presente em todos os kernels principais e estáveis desde então e foi corrigido em 16 de julho após o commit 2f4acd0 ter sido mesclado na árvore de origem do kernel Linux.
A lista de distribuições Linux afetadas inclui Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux e Fedora, bem como CentOS Stream, Rocky Linux, AlmaLinux e CloudLinux.
A Qualys estima que isso afete potencialmente mais de 16,4 milhões de sistemas com base na análise usando seu software de gerenciamento de ativos de segurança cibernética.
Saeed Abbasi, chefe da Unidade de Pesquisa de Ameaças da Qualys, diz que a descoberta surgiu de uma iniciativa de pesquisa entre a Qualys e a Anthropic, na qual os pesquisadores integraram o modelo de IA Claude Mythos Preview em seu fluxo de trabalho de auditoria manual.
O Claude Mythos Preview foi encarregado de procurar uma condição de corrida semelhante à classe de vulnerabilidade “Dirty COW” e, após refinamento iterativo, identificou a falha no XFS e gerou uma prova de conceito funcional. Abbasi acrescentou que os pesquisadores de segurança da Qualys revisaram o raciocínio do modelo, reproduziram a exploração e verificaram de forma independente todas as alegações técnicas antes de coordenar a divulgação com os mantenedores do kernel.
“Recomenda-se a correção imediata do kernel para neutralizar esta vulnerabilidade. A exploração é bem-sucedida de forma consistente sob configurações de proteção padrão, e a modificação no disco sobrevive à reinicialização do sistema”, disse Abbasi.
"Os kernels corrigidos pelo fornecedor agora estão disponíveis e sendo portados para distribuições corporativas. As organizações devem priorizar a correção de sistemas expostos e multilocatários e garantir uma reinicialização para verificar a atualização. No momento, não há mitigações confiáveis ou práticas ou alterações temporárias de configuração disponíveis."
RefluXFS é a mais recente de uma longa série de vulnerabilidades de escalonamento de privilégios do Linux divulgadas desde o início do ano, incluindo CIFSwitch, PinTheft, Copy Fail, Dirty Frag, Fragnesia, Pack2TheRoot e DirtyDecrypt/DirtyCBC.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o white paper
#samirnews #samir #news #boletimtec #nova #falha #do #refluxfs #linux #permite #que #invasores #obtenham #privilégios #de #root
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário