Eine neu entdeckte Linux-Sicherheitslücke sorgt für erhebliche Risiken. RefluXFS erlaubt Root-Rechte ohne Kernel-Log-Einträge und umgeht etablierte Schutzmechanismen. Sicherheitsupdates sollten deshalb zeitnah installiert werden.
Entdeckt wurde die Schwachstelle von der Qualys Threat Research Unit. Betroffen sind Linux-Systeme mit dem XFS-Dateisystem und aktivierter Reflink-Funktion. Voraussetzung ist außerdem ein lokales Benutzerkonto mit Schreibrechten in einem Verzeichnis. Die Lücke betrifft Kernel ab Version 4.11 und existierte rund neun Jahre unentdeckt.
Besonders problematisch ist die Arbeitsweise des Exploits. Angreifer können geschützte Dateien oder SUID-Programme manipulieren und dadurch Root-Rechte erlangen. Die Änderungen erfolgen direkt auf dem Datenträger, bleiben nach einem Neustart erhalten und hinterlassen keine Einträge im Kernel-Protokoll. Dadurch wird eine nachträgliche Analyse deutlich erschwert.
Nach Angaben von Qualys greifen klassische Linux-Schutzmechanismen hier nicht. Weder SELinux noch Kernel Lockdown oder Container-Isolierung verhindern den Angriff. Auch Sicherheitsfunktionen wie KASLR, SMEP oder SMAP bieten keinen Schutz, da die Schwachstelle auf Ebene der Dateisystemverwaltung ausgenutzt wird.
Betroffen sind unter anderem Red Hat Enterprise Linux (RHEL), Fedora, Oracle Linux, Amazon Linux, Rocky Linux, AlmaLinux, CentOS Stream und CloudLinux. Qualys geht davon aus, dass weltweit mehr als 16 Millionen Systeme verwundbar sein könnten. Inzwischen stehen fehlerbereinigte Kernel bereit und werden schrittweise in die Distributionen übernommen.
Interessant ist auch die Entdeckung der Schwachstelle. Qualys nutzte das KI-Modell Claude Mythos Preview als Unterstützung für die Sicherheitsanalyse. Das Modell identifizierte den fehlerhaften Codepfad und erstellte einen ersten Proof of Concept. Anschließend überprüften die Forscher sämtliche Ergebnisse manuell, bevor die Sicherheitslücke gemeinsam mit den Kernel-Entwicklern geschlossen wurde. Unternehmen sollten betroffene Systeme schnell aktualisieren und anschließend neu starten.
Weiterführende Informationen finden sich hier.
Schreibe einen Kommentar