Publicado en

RefluXFS: La vulnerabilidad crítica de Linux que afecta a RHEL y Amazon Linux tras 9 años oculta

•Publicado enVulnerabilidades

Descubierta una falla persistente en el kernel de Linux que compromete la seguridad de entornos empresariales

Recientemente se ha dado a conocer una vulnerabilidad crítica en el kernel de Linux, identificada como CVE-2026-64600 y bautizada como RefluXFS. Este fallo, que ha permanecido oculto durante nueve años, permite a un usuario local sin privilegios sobrescribir archivos propiedad de root en sistemas de archivos XFS, facilitando la obtención de acceso total y persistente al sistema.

¿Qué es RefluXFS y cómo funciona?

El problema radica en una condición de carrera (race condition) dentro de la funcionalidad reflink del sistema de archivos XFS. Esta característica, utilizada para optimizar el almacenamiento mediante el copiado bajo demanda (copy-on-write), presenta un error en la gestión de bloqueos del kernel.

Desde una perspectiva técnica pero accesible, el atacante aprovecha un breve intervalo de tiempo en el que el kernel libera un bloqueo para reservar espacio. En ese milisegundo, el atacante puede redirigir la escritura de datos hacia bloques de disco que pertenecen a archivos protegidos del sistema, como /etc/passwd o binarios con privilegios setuid-root. Lo más alarmante es que este ataque ocurre a nivel de bloques de disco, por lo que no deja rastro en los metadatos del archivo: los permisos, propietarios y marcas de tiempo permanecen inalterados, haciendo que la intrusión sea extremadamente difícil de detectar.

Sistemas afectados y alcance

Según la investigación de Qualys, las instalaciones predeterminadas de varias distribuciones líderes en el sector corporativo son vulnerables, entre ellas:

  • Red Hat Enterprise Linux (RHEL) versiones 8, 9 y 10.
  • Amazon Linux 2023 y versiones de Amazon Linux 2 desde diciembre de 2022.
  • Fedora Server (versión 31 en adelante).
  • Derivados de RHEL como CentOS Stream, AlmaLinux y Rocky Linux.

Distribuciones como Debian o Ubuntu solo se ven afectadas si el administrador configuró manualmente el sistema de archivos XFS con la opción reflink habilitada durante la instalación.

El papel de la Inteligencia Artificial en el hallazgo

Un dato relevante para la estrategia de ciberseguridad moderna es que esta vulnerabilidad fue identificada mediante el uso de modelos de IA avanzados. Los investigadores de Qualys utilizaron un modelo de lenguaje de frontera para analizar el código del kernel, solicitándole específicamente encontrar fallos similares al histórico Dirty COW. Esto subraya cómo la IA está cambiando el panorama tanto para el descubrimiento de vulnerabilidades como para la creación de exploits más sofisticados.

Recomendaciones para empresas

Dada la gravedad de RefluXFS, desde Intedya recomendamos a los responsables de TI y seguridad seguir estos pasos de inmediato:

  1. Verificar la exposición: Ejecute el comando xfs_info / | grep reflink=. Si el resultado es reflink=1, su sistema cumple una de las condiciones críticas para ser explotado.
  2. Aplicar parches de seguridad: Los principales proveedores (Red Hat, Amazon, etc.) ya han comenzado a liberar actualizaciones del kernel que corrigen este fallo.
  3. Reinicio obligatorio: Es fundamental recordar que la actualización del paquete del kernel no surte efecto hasta que el sistema se reinicia. No basta con instalar el parche; es necesario cargar el nuevo kernel en memoria.
  4. Priorizar sistemas multiusuario: Los entornos donde se ejecutan códigos de terceros, como servidores de CI/CD o servicios compartidos, deben ser los primeros en actualizarse.

En Intedya, enfatizamos que la gestión proactiva de vulnerabilidades y el cumplimiento de estándares internacionales de seguridad de la información son la mejor defensa contra fallos estructurales que, como RefluXFS, pueden permanecer latentes durante casi una década.

Fuentes