RefluXFS : Une faille critique dans XFS permettant un accès root sur plusieurs distributions Linux
Une vulnérabilité de sécurité, nommée RefluXFS, a été découverte dans le système de fichiers XFS du noyau Linux, permettant à un utilisateur local non privilégié de réécrire des fichiers appartenant à root, sans laisser de trace dans les journaux du noyau. Cette faille, présente depuis février 2017, a été mise en lumière grâce à l’IA Claude Mythos Preview, développée par Anthropic, dans le cadre du projet Glasswing, en collaboration avec Qualys.
Le 22 juillet 2026, un rapport de Qualys a révélé qu’une race condition dans le chemin copy-on-write de XFS permettait à un utilisateur local d’écraser n’importe quel fichier lisible. Cette possibilité d’élévation de privilèges permet d’accéder à un shell root, comme démontré par Qualys dans leurs tests.
Le mécanisme de la faille repose sur la fonctionnalité de clonage par copy-on-write, où des fichiers peuvent être clonés sans recopie de données. Un utilisateur peut ainsi cloner des fichiers critiques comme /etc/passwd ou /usr/bin/su, puis, par un processus d’écriture, modifier le fichier original sans que cela soit détecté.
Pour qu’une machine soit vulnérable, trois conditions doivent être réunies :
- Un noyau Linux en version 4.11 ou supérieure sans correctif.
- Un système de fichiers XFS avec
reflink=1. - Un fichier ciblable cohabitant avec un répertoire accessible en écriture pour un utilisateur non privilégié.
Les distributions affectées incluent Red Hat Enterprise Linux, CentOS, AlmaLinux, et d’autres, touchant potentiellement environ 16,4 millions de machines selon Qualys.
Aucune des protections habituelles, telles que SELinux en mode Enforcing, ne bloque cette faille. La seule me de protection recommandée est l’application d’un correctif, qui a été intégré au noyau Linux le 16 juillet 2026.
À ce jour, aucune exploitation de la faille RefluXFS n’a été rapportée dans la nature.
Source : Qualys.
