Comment RefluXFS écrase les fichiers appartenant à « root » que vous ne pouvez que lire

RefluXFS (CVE-2026-64600) est une condition de concurrence dans le chemin de copie à l'écriture (copy-on-write) du système de fichiers XFS du noyau Linux ; elle s'avère bien plus exploitable par un attaquant qu'une simple corruption du système de fichiers. Un utilisateur local non privilégié demande à XFS une copie liée (reflinked) d’un fichier qu’il peut lire, effectue deux écritures directes simultanées sur cette copie, et le noyau se fie suffisamment longtemps à un mappage de bloc obsolète pour qu’une de ces écritures soit appliquée au fichier d’origine. Le remplacement s'effectue au niveau de la couche bloc ; il survit donc à un redémarrage, laisse intacts le propriétaire, les horodatages et les bits setuid, et ne génère aucune entrée dans le journal du noyau. Dans ce live, nous expliquons comment une recherche assistée par IA a permis de mettre au jour cette faille, pourquoi la désactivation de reflink n’est pas une solution d’urgence, quel est l’impact de la mesure d’atténuation SystemTap sur une charge de travail, et pourquoi le correctif peut être appliqué sans redémarrage.