Уязвимость даёт возможность перезаписать содержимое любого файла в файловой системе XFS, созданной с поддержкой reflink (в mkfs.xfs выставляется по умолчанию с 2019 года и бэкпортирован в RHEL 8), при наличии доступа к этому файлу на чтение. Операция reflink позволяет создавать копии файлов путём клонирования метаданных файла и создания ссылки на уже имеющиеся данные без их фактического копирования (данные разделяются только после внесения изменений с использованием механизма copy-on-write).
Атака сводится к созданию при помощи reflink принадлежащего пользователю клона файла, такого как /etc/passwd или /usr/bin/su, и инициированию возникновения состояния гонки через отправку одновременных запросов к клону в режиме O_DIRECT. Из-за некорректно выставляемой блокировки при выполнении операции copy-on-write, возникает короткое временное окно, на протяжении которого блок будет скопирован, но счётчик ссылок ещё не обновлён, что приведёт к записи в физический блок, закреплённый за исходным файлом. Изменение сохраняется напрямую в физических блоках на диске без изменения состояния inode (SUID-бит не сбрасывается) и не отражаясь в страничном кэше (чтобы изменения стали видны в системе, можно использовать вызов «posix_fadvise(POSIX_FADV_DONTNEED)»).
Эксплуатация возможна в конфигурации по умолчанию при наличии в ФС XFS каталога, в который атакующий может записываться файлы, и доступности на чтение suid-файлов, а также файлов с системными настройками или скриптами. Наличие уязвимости и необходимых для атаки настроек подтверждено в RHEL 8-10 (+ CentOS, Rocky, AlmaLinux, Oracle Linux, CloudLinux 8-10), Fedora Server 31+, Amazon Linux 2023 и Amazon Linux 2 AMI. В Debian, Ubuntu, Fedora Workstation, SLES, openSUSE и Arch Linux файловая системе XFS по умолчанию не применяется в корневом разделе и подверженность проблеме зависит от выбора XFS при установке.
Ветка RHEL 7 проблеме не подвержена, а ветка RHEL 8 уязвима только при установке с нуля (при обновлении с RHEL 7 reflink не включается).
Проблема проявляется начиная с выпуска 4.11 (февраль 2017 года) и устранена в ядре Linux 14 июня. Исправление включено в состав корректирующих выпусков ядра
7.1.4,
6.18.39 и 6.12.96. Статус устранения уязвимости в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch,
Fedora.
Помимо этого за последние дни выявлено ещё несколько уязвимостей, позволяющих поднять свои привилегии в системе:
- В инструментарии snapd 2.76.1 устранены 3 уязвимости:
- CVE-2026-8933 — уязвимость в утилите snap-confine, формирующей sandbox-окружение для выполнения snap-приложения, позволяет получить привилегии root в системе. Уязвимость напоминает мартовскую проблему и также вызвана состояниями гонки, но на этот раз возникающими при запуске в режиме «set-capabilities». Первое состояние гонки возникает после создания директории «/tmp/snap.rootfs_XXXXXX», но до изменения её владельца, а второе — в промежуток между созданием файла и сменой владельца на root. В подобный момент атакующий может создать символическую ссылку внутри каталога «/tmp/snap.rootfs_XXXXXX» и добиться создания произвольного файла в разрешённых системных каталогах, после чего воспользоваться вторым состоянием гонки и успеть выставить права доступа «0666» (запись для всех пользователей) на созданный файл до смены владельца.
Подобным образом создаётся файла с расширением .rules в каталоге /run/udev/rules.d/, после чего в него добавляется правило, запускающее с правами root команду атакующего при монтировании или отмонтировании FUSE-раздела. Проблема проявляется в Ubuntu 22.04 LTS, Ubuntu 24.04 LTS и Ubuntu 26.04 LTS с настройками по умолчанию. Выявившие проблему исследователи продемонстрировали рабочий эксплот.
- CVE-2026-15226 — уязвимость в snap-confine, позволяющая локальному атакующему обойти ограничения sandbox-окружения.
- CVE-2024-5300 — позволяет из sandbox-окружения получить доступ к хэшам паролей на системах с systemd-userdbd через отправку запроса при помощи интерфейса varlink.
- CVE-2026-8933 — уязвимость в утилите snap-confine, формирующей sandbox-окружение для выполнения snap-приложения, позволяет получить привилегии root в системе. Уязвимость напоминает мартовскую проблему и также вызвана состояниями гонки, но на этот раз возникающими при запуске в режиме «set-capabilities». Первое состояние гонки возникает после создания директории «/tmp/snap.rootfs_XXXXXX», но до изменения её владельца, а второе — в промежуток между созданием файла и сменой владельца на root. В подобный момент атакующий может создать символическую ссылку внутри каталога «/tmp/snap.rootfs_XXXXXX» и добиться создания произвольного файла в разрешённых системных каталогах, после чего воспользоваться вторым состоянием гонки и успеть выставить права доступа «0666» (запись для всех пользователей) на созданный файл до смены владельца.
- В почтовом сервере Exim 4.99.5 устранена
уязвимость (CVE не присвоен), позволяющая локальному пользователю повысить свои привилегии через манипуляции с файлом «.forward» в конфигурациях, поддерживающих настройку перенаправления через файл «.forward» и использующих команду «force_command» для транспорта «pipe», запускаемого под привилегированным пользователем. Эксплуатация осуществляется через использование аргументов командной строки, предназначенных для перемещения писем по имени в очереди, для доступа к файлам за пределами спула. Проблема проявляется начиная с версии Exim 4.82 (2013 год).Источник: http://www.opennet.ru/opennews/art.shtml?num=65962