Kerentanan RefluXFS 9 Tahun di Linux Beri Akses Root pada Instalasi RHEL Default

Kerentanan RefluXFS yang telah berusia sembilan tahun baru-baru ini diungkapkan pada tanggal 22 Juli 2026. Dikenal dengan kode CVE-2026-64600, celah ini memungkinkan pengguna lokal tanpa hak istimewa untuk menimpa file milik root pada sistem berkas XFS yang diaktifkan reflink, dan memperoleh akses root yang persisten bahkan setelah reboot.

Menurut laporan dari Qualys, instalasi default dari Red Hat Enterprise Linux (RHEL) dan turunannya seperti Fedora Server serta Amazon Linux memenuhi kondisi yang memungkinkan eksploitasi celah ini. Demonstrasi yang mereka lakukan menunjukkan perlombaan (race condition) terhadap file penting seperti /etc/passwd dan biner setuid-root. Overwrite yang terjadi di lapisan blok ini dapat bertahan setelah sistem di-reboot, tanpa mengubah kepemilikan, izin, timestamp, maupun bit setuid file target. Akibatnya, biner setuid-root yang telah dimodifikasi tetap dapat dijalankan dengan hak akses root.

Siapa yang Terpapar dan Syarat Eksploitasi

Eksploitasi celah ini mensyaratkan tiga kondisi utama:

• Sistem menjalankan kernel Linux versi 4.11 atau lebih baru tanpa perbaikan RefluXFS.
• Sistem berkas XFS dibuat dengan opsi reflink=1.
• File target yang dapat dibaca dan direktori yang dapat ditulis penyerang berada pada sistem XFS yang sama.

Qualys menyarankan agar sistem yang terpapar dan memiliki multi-penyewa segera dipatch, terutama host XFS yang reflink-enabled dimana kode yang tidak terpercaya dapat dijalankan secara lokal, baik lewat shell, pekerjaan CI, maupun layanan yang terkompromi.

Daftar instalasi default yang rentan meliputi Red Hat Enterprise Linux, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux, CloudLinux 8, 9, dan 10, Fedora Server 31 dan versi lebih baru, Amazon Linux 2023, serta Amazon Linux 2 sejak Desember 2022. Sistem RHEL 7 tidak terpengaruh karena belum mendukung reflink pada XFS. Sementara itu, distribusi seperti Debian, Ubuntu, SLES, dan openSUSE biasanya tidak menggunakan XFS sebagai sistem root secara default, sehingga hanya terpapar jika administrator memilih XFS dengan reflink saat instalasi.

Bagaimana Cara Memeriksa Sistem XFS Anda

Gunakan perintah berikut untuk memeriksa apakah sistem berkas root menggunakan reflink:

xfs_info / | grep reflink=

Jika hasilnya reflink=1, berarti kondisi kedua terpenuhi. Ulangi pemeriksaan ini pada volume XFS lain yang memiliki file terlindungi dan direktori yang dapat ditulis penyerang.

Penjelasan Teknis Kelemahan RefluXFS

Inti dari kerentanan ini adalah race condition pada operasi copy-on-write (COW) di XFS yang menggunakan reflink. Penyerang melakukan kloning file milik root ke file sementara menggunakan FICLONE, yang hanya membutuhkan akses baca ke file sumber. Lalu, penyerang melakukan perlombaan menulis secara bersamaan dengan mode O_DIRECT terhadap file kloning tersebut.

Karena XFS reflink menggunakan copy-on-write, kedua file awalnya mengacu pada blok disk fisik yang sama. Namun, selama proses COW, kernel membaca pemetaan data-fork di bawah kunci inode, lalu melepaskan kunci tersebut untuk mengalokasikan ruang transaksi. Dalam celah ini, penulis kedua dapat menyelesaikan operasi copy-on-write dan memetakan ulang file kloning ke blok baru, tapi penulis pertama menggunakan pemetaan lama yang sudah usang ketika kembali mendapatkan kunci.

Akibatnya, penulisan langsung yang dilakukan oleh penulis pertama diarahkan ke blok milik file target yang sebenarnya, bukan file kloning. Karena ini merupakan kesalahan check-then-use yang terjadi selama siklus penguncian, data penyerang menimpa file root tanpa mengubah metadata, sehingga tidak muncul peringatan atau log kernel.

Penemuan dan Respons Vendor

Patch perbaikan untuk kerentanan ini telah diintegrasikan ke kernel pada tanggal 16 Juli 2026, dan vendor-vendor Linux telah mulai mendistribusikan kernel dengan patch tersebut. Perbaikan ini menelusuri bug ke kernel Linux versi 4.11 yang dirilis pada tahun 2017.

Red Hat telah mengeluarkan advisori kernel penting untuk RHEL 8, 9, dan 10 sejak tanggal 14 Juli, sebelum pengungkapan resmi. Pengguna disarankan untuk segera mengaplikasikan pembaruan, melakukan reboot, dan memastikan kernel yang berjalan sudah versi perbaikan.

Qualys mengungkapkan bahwa celah ini ditemukan dengan bantuan model kecerdasan buatan bernama Claude Mythos Preview dari Anthropic, yang diberi tugas untuk mencari kerentanan serupa dengan Dirty COW. Model AI tersebut berhasil menemukan race condition, menulis exploit yang berfungsi, dan menyusun advisori teknis, yang kemudian diverifikasi dan diungkapkan secara koordinatif.

Mitigasi dan Batasan

Saat ini tidak ada opsi mount atau konfigurasi sysctl yang dapat menonaktifkan reflink pada XFS setelah sistem berkas dibuat. Upaya mitigasi seperti SELinux mode enforcing, seccomp, kernel lockdown, hingga batasan container juga gagal mencegah eksploitasi ini. Perlindungan memori seperti KASLR dan SMEP tidak berlaku karena ini serangan lapisan blok, bukan korupsi memori.

Satu batasan teknis adalah race hanya terjadi jika blok target tidak sedang digunakan secara bersama (unshared). File yang sudah pernah dikloning reflink sebelumnya tidak rentan. Namun, penyerang bisa mengembalikan kondisi ini dengan menjalankan perintah chsh. Biasanya, biner setuid-root jarang dikloning reflink sehingga kemungkinan besar tetap rentan.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan RefluXFS ini adalah contoh nyata bagaimana bug lama yang tersembunyi dapat menjadi ancaman serius di era modern, terutama pada distribusi Linux enterprise yang digunakan secara luas seperti RHEL dan turunannya. Fakta bahwa bug ini sudah ada sejak kernel 4.11 tahun 2017 namun baru terdeteksi dan diungkap sekarang, menegaskan pentingnya audit keamanan mendalam dan penggunaan teknologi AI dalam menemukan kerentanan tersembunyi.

Implikasi dari celah ini sangat signifikan karena memungkinkan eskalasi hak akses lokal menjadi root tanpa jejak, yang bisa dimanfaatkan untuk kompromi sistem secara penuh di lingkungan multi-tenant dan cloud. Organisasi yang menggunakan sistem yang terdampak harus memprioritaskan patch dan reboot, serta melakukan audit menyeluruh terhadap aktivitas yang mencurigakan.

Kedepannya, pengembang kernel dan vendor Linux perlu meningkatkan pengujian race condition pada fitur-fitur kritikal seperti reflink, dan komunitas keamanan harus terus mengawasi potensi eksploitasi kerentanan lama yang belum terdeteksi. Pengguna disarankan untuk tetap mengikuti perkembangan patch dan advisori resmi dari vendor terkait.

Untuk informasi lebih lanjut dan update terkini, pembaca dapat merujuk langsung ke laporan asli The Hacker News dan situs resmi Red Hat.