Como o RefluXFS sobrescreve arquivos de propriedade do usuário “root” que você só pode ler

O RefluXFS (CVE-2026-64600) é uma condição de corrida no caminho de “copy-on-write” do XFS do kernel do Linux, e é muito mais útil para um invasor do que uma simples corrupção do sistema de arquivos. Um usuário local sem privilégios solicita ao XFS uma cópia com reflink de um arquivo que ele pode ler, realiza duas gravações diretas simultaneamente nessa cópia, e o kernel confia em um mapeamento de bloco desatualizado por tempo suficiente para que uma dessas gravações seja aplicada ao arquivo original. A sobrescrita ocorre na camada de blocos, portanto, ela sobrevive a uma reinicialização, mantém intactos o proprietário, os carimbos de data/hora e os bits setuid, e não gera nenhuma entrada no log do kernel. Nesta transmissão ao vivo, abordamos como uma caça assistida por IA revelou a falha, por que desativar o reflink não é uma opção de emergência, quais são os custos da mitigação do SystemTap para uma carga de trabalho e por que a correção se encaixa em um patch que não requer reinicialização.