RefluXFS e snap-confine portano utenti locali a root su Linux e Ubuntu

🛡️ Executive Summary

• RefluXFS sfrutta una race condition nel copy-on-write di XFS per sovrascrivere file protetti e ottenere privilegi root persistenti.
• CVE-2026-8933 colpisce snap-confine sulle installazioni Ubuntu Desktop e combina FUSE, symlink e regole udev malevole.
• Le due falle richiedono accesso locale iniziale, ma superano SELinux, AppArmor e altri confini normalmente considerati affidabili.

Due vulnerabilità locali riportano l’attenzione sui componenti più profondi dei sistemi Linux. CVE-2026-64600, denominata RefluXFS, sfrutta una race condition nel filesystem XFS e consente a un normale utente di sovrascrivere file appartenenti a root senza produrre messaggi nel log del kernel. CVE-2026-8933 colpisce invece snap-confine, il componente privilegiato che costruisce le sandbox delle applicazioni Snap, permettendo di trasformare una directory temporanea controllata dall’utente in un percorso verso l’esecuzione come root. Le due falle non offrono accesso remoto diretto, ma diventano estremamente pericolose dopo il furto di credenziali, la compromissione di un account o l’ingresso in un ambiente multiutente.

RefluXFS colpisce il copy-on-write del filesystem XFS

RefluXFS nasce da una condizione di competizione nel percorso copy-on-write utilizzato da XFS quando più file condividono gli stessi blocchi attraverso la funzione reflink. Il meccanismo consente di clonare file senza duplicare immediatamente tutti i dati: finché il contenuto resta invariato, gli oggetti puntano agli stessi blocchi fisici; quando uno viene modificato, XFS crea una copia privata del blocco interessato. La vulnerabilità emerge quando due scritture concorrenti eseguite con O_DIRECT operano sullo stesso file reflinkato. Durante la gestione della prima operazione, il kernel rilascia temporaneamente il lock dell’inode mentre attende spazio nel journal. Una seconda scrittura può completare nel frattempo il proprio ciclo copy-on-write, modificando la mappatura e il conteggio dei riferimenti. Quando il primo thread riprende, utilizza un indirizzo fisico ormai obsoleto e interpreta il blocco come privato, scrivendo direttamente sopra il contenuto del file originale. L’effetto si verifica al livello dei blocchi e non modifica necessariamente metadata, permessi o timestamp in modo evidente. Il funzionamento interno di XFS e delle differenze rispetto a Ext4 e Btrfs aiuta a comprendere perché una funzione progettata per migliorare efficienza e clonazione possa diventare una primitiva di scrittura arbitraria. Qualys indica che il difetto è presente dal kernel 4.11 e interessa i sistemi che utilizzano XFS con reflink abilitato.

Un utente ordinario può modificare file appartenenti a root

La primitiva ottenuta non consente di scegliere liberamente ogni byte della memoria del kernel, ma permette di sovrascrivere sul disco il contenuto di file leggibili presenti sul volume vulnerabile. Qualys ha dimostrato l’escalation modificando /etc/passwd e binari SUID appartenenti a root. Un attaccante può quindi eliminare la protezione della password dell’account amministrativo, alterare un eseguibile privilegiato oppure introdurre una modifica persistente che sopravvive al riavvio.

L’exploit richiede un account locale non privilegiato, una directory scrivibile e la possibilità di creare reflink verso il file bersaglio, ma non necessita di capacità speciali o configurazioni anomale nelle distribuzioni che adottano XFS come filesystem principale. RHEL, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux, CloudLinux, Fedora Server e alcune immagini Amazon Linux rientrano tra gli ambienti confermati. Debian, Ubuntu e SUSE non installano normalmente XFS come filesystem root, ma diventano vulnerabili quando l’amministratore lo seleziona manualmente con reflink attivo. La modifica non genera eventi nel log del kernel e può sfuggire ai controlli che osservano soprattutto chiamate di sistema, processi e cambiamenti nei metadata. La vulnerabilità dimostra che le correzioni del kernel Linux e dei componenti di sistema non devono essere valutate soltanto in base all’esposizione internet: una falla locale nel filesystem può trasformare un accesso limitato in controllo completo dell’host.

SELinux e i container non fermano l’attacco

Le normali mitigazioni del kernel non impediscono RefluXFS perché operano su livelli differenti. KASLR, SMEP e SMAP proteggono la memoria e l’esecuzione nel kernel, mentre la vulnerabilità interviene nel percorso di allocazione e rimappatura dei blocchi. Kernel lockdown non limita le normali operazioni O_DIRECT e reflink richieste dall’exploit. Anche SELinux in modalità Enforcing non impedisce la sovrascrittura osservata da Qualys, perché la scrittura avviene attraverso un percorso che risulta formalmente autorizzato sul file controllato dall’utente e viene poi applicata al blocco fisico condiviso. Le restrizioni delle user namespace e dei container incontrano lo stesso limite: possono ridurre capability e accesso alle risorse, ma non correggono la race condition nel filesystem sottostante. Un container privo di privilegi potrebbe quindi diventare un punto di partenza quando condivide un volume XFS vulnerabile con l’host e dispone delle operazioni necessarie, anche se l’impatto deve essere verificato in base alla configurazione concreta. Qualys non indica workaround affidabili, live patch generiche o modifiche temporanee capaci di eliminare il rischio. La risposta consiste nell’installare il kernel corretto distribuito dal vendor e riavviare il sistema per assicurarsi che venga effettivamente caricata la versione aggiornata.

Claude accelera la scoperta ma non sostituisce la verifica umana

RefluXFS è stata individuata durante una collaborazione tra Qualys e Anthropic. I ricercatori hanno chiesto a Claude Mythos Preview di cercare race condition simili a Dirty COW nelle aree di memoria e filesystem del kernel. Dopo più iterazioni, il modello ha concentrato l’analisi su XFS e prodotto una prima proof-of-concept funzionante. Il risultato non è stato pubblicato automaticamente: gli esperti Qualys hanno controllato il ragionamento, riprodotto l’exploit, verificato indipendentemente ogni passaggio e coordinato la divulgazione con i maintainer del kernel. Il caso rappresenta un esempio concreto di AI applicata alla ricerca difensiva, ma mostra anche il rischio di una riduzione della finestra tra patch ed exploit. Se un modello può individuare una race condition complessa partendo dal codice, può anche aiutare soggetti offensivi a ricostruire rapidamente vulnerabilità corrette ma non ancora applicate su milioni di sistemi. La priorità non deriva quindi soltanto dalla gravità tecnica della CVE, ma dalla possibilità che l’automazione renda disponibile in tempi brevi un exploit affidabile. Qualys stima un impatto potenziale superiore a 16 milioni di sistemi, valore che comprende installazioni compatibili con i prerequisiti e non equivale al numero di host sicuramente vulnerabili o raggiungibili.

snap-confine introduce una race condition durante l’hardening

La seconda vulnerabilità, CVE-2026-8933, colpisce snap-confine sulle installazioni Ubuntu Desktop 24.04 aggiornate e sulle versioni 25.10 e 26.04. snap-confine prepara namespace, mount point, directory temporanee e policy necessarie a eseguire le applicazioni Snap all’interno del proprio ambiente isolato. Canonical aveva sostituito il precedente modello setuid-root con un sistema basato su capability Linux, riducendo formalmente i privilegi permanenti del binario. Il processo continua però a disporre di capacità vicine a quelle di root mentre mantiene l’UID effettivo dell’utente che lo ha avviato.

Durante la creazione della sandbox, snap-confine genera file e directory sotto /tmp, inizialmente appartenenti all’utente, e ne trasferisce poco dopo la proprietà a root. La stretta finestra tra queste operazioni consente all’attaccante di mantenere controllo su un oggetto che il processo privilegiato ritiene sicuro. La falla dimostra che un intervento di hardening può ridurre una superficie di attacco e contemporaneamente crearne una nuova quando proprietà, capability e ordine delle operazioni non vengono gestiti in modo atomico. Il precedente caso Oh Snap! individuato da Qualys su Ubuntu aveva già mostrato quanto snap-confine rappresenti un componente sensibile: una debolezza nel costruttore della sandbox può diventare una via diretta verso root.

FUSE e symlink trasformano una directory temporanea in root

L’exploit combina due race condition. Nella prima fase, l’attaccante monta rapidamente un filesystem FUSE sopra la directory temporanea appena creata da snap-confine. Il mount viene eseguito prima che il processo completi l’isolamento attraverso i namespace, mantenendo il percorso accessibile anche fuori dalla sandbox prevista. Nella seconda fase viene creato un collegamento simbolico verso un file arbitrario. Quando snap-confine apre il percorso per generare un file della sandbox, segue il symlink e opera sul bersaglio scelto dall’attaccante. Un’ulteriore competizione consente di ampliare i permessi a 0666 prima che il processo esegua fchown() e trasferisca la proprietà a root.

Per superare AppArmor, la proof-of-concept utilizza /run/udev/rules.d/, percorso sul quale la configurazione permette le operazioni necessarie. L’attaccante deposita una regola udev malevola e provoca un ciclo di mount e unmount FUSE, inducendo systemd-udevd a eseguire comandi con privilegi root. L’operazione parte da un utente locale privo di autorizzazioni amministrative e sfrutta strumenti legittimi del sistema. La falla non dipende dal classic confinement scelto da alcune applicazioni Snap, che concede volontariamente un accesso più ampio al sistema, ma dal componente snap-confine utilizzato per costruire l’ambiente di esecuzione. La documentazione Canonical chiarisce che gli snap classici non ricevono le normali garanzie di isolamento; CVE-2026-8933 è più grave perché colpisce il meccanismo privilegiato anche sulle installazioni standard.

Patch e riavvio restano le uniche risposte affidabili

Le due vulnerabilità richiedono un accesso locale iniziale, ma non devono essere considerate secondarie. Account SSH compromessi, webshell, container vulnerabili, postazioni condivise e servizi esposti possono fornire il punto di partenza necessario. RefluXFS permette di alterare file protetti senza segnali nel log del kernel; snap-confine consente di costruire una regola udev eseguita da root. In entrambi i casi, il passaggio da utente ordinario ad amministratore elimina il valore delle separazioni su cui si basa la difesa del sistema. Per RefluXFS occorre installare il kernel corretto pubblicato dalla distribuzione, verificare che il filesystem utilizzi XFS con reflink e completare il riavvio. Per CVE-2026-8933 è necessario aggiornare snapd attraverso i pacchetti Canonical e controllare eventuali regole udev, mount FUSE o modifiche sospette create prima della correzione. Le installazioni Ubuntu coinvolte non devono limitarsi a verificare la presenza di applicazioni Snap: snap-confine appartiene all’infrastruttura predefinita del sistema e può risultare raggiungibile anche quando l’utente non utilizza consapevolmente pacchetti complessi. Il caso si aggiunge alle vulnerabilità Ubuntu capaci di trasformare componenti di sistema in percorsi verso privilegi elevati. Il rischio comune non nasce da un servizio remoto esposto, ma dalla possibilità che una compromissione limitata raggiunga il livello più affidabile dell’host: il filesystem nel primo caso e il costruttore della sandbox nel secondo.