Lỗ hổng bảo mật nghiêm trọng RefluXFS tồn tại suốt 9 năm trên nhân Linux vừa bị phơi bày

Theo tin từ IT ngày 28 tháng 7, công ty bảo mật Qualys vừa công bố một lỗ hổng leo thang đặc quyền cục bộ trong nhân Linux có tên là RefluXFS (CVE-2026-64600). Lỗ hổng này đã tồn tại từ phiên bản nhân Linux 4.11 ra mắt năm 2017, phải mất khoảng 9 năm mới được phát hiện và đạt điểm CVSS là 7.8.

IT được biết, CVE-2026-64600 bắt nguồn từ vấn đề điều kiện tranh chấp (race condition) trong cơ chế Copy-on-Write (CoW - ghi khi sao chép) của hệ thống tệp XFS trên nhân Linux. Tin tặc có thể khai thác lỗ hổng này để sửa đổi bất kỳ tệp nào có thể đọc được trên các phân vùng đĩa XFS đã bật tính năng reflink, từ đó ghi đè lên các tệp hệ thống quan trọng để leo thang đặc quyền cục bộ và cuối cùng chiếm quyền Root.

Do lỗ hổng này khai thác khiếm khuyết trong thiết kế hệ thống tệp, nên ngay cả khi hệ thống đã bật các cơ chế bảo vệ bộ nhớ như SMEP, SMAP, KASLR, hoặc áp dụng các biện pháp bảo mật như Kernel Lockdown (khóa nhân), cách ly container, thì cũng không thể ngăn chặn hiệu quả cuộc tấn công. Vì vậy, tất cả các nền tảng Linux đã bật tính năng reflink của hệ thống tệp XFS đều có thể bị ảnh hưởng (bao gồm các bản phân phối như RHEL, Oracle Linux, Amazon Linux, Fedora, v.v.), với hơn 16,4 triệu máy chủ Linux trên toàn cầu có nguy cơ gặp rủi ro.

Hiện tại, đội ngũ phát triển nhân Linux đã hợp nhất các bản vá lỗi liên quan vào nhân thượng nguồn (upstream kernel), các nhà cung cấp bản phân phối Linux sẽ sớm tích hợp chúng vào các phiên bản nhân tương ứng.

Qualys cho biết thêm, đội ngũ nghiên cứu đã tìm ra lỗ hổng này bằng cách kết hợp phương pháp xác thực thủ công với phân tích hỗ trợ bởi AI. Nhóm nghiên cứu trước tiên sử dụng Claude để hỗ trợ phân tích mã nguồn nhân Linux, thu hẹp phạm vi tìm kiếm và xác định các khu vực tiềm ẩn vấn đề, sau đó các chuyên gia bảo mật đã hoàn tất các bước xác thực lỗ hổng RefluXFS và phân tích quy trình tấn công.

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin và tiết kiệm thời gian lựa chọn, kết quả chỉ mang tính chất tham khảo. Tất cả các bài viết trên IT đều bao gồm tuyên bố này.