Qualys beschreibt die Ausnutzung von RefluXFS als sehr zuverlässig. Die Angriffe hinterließen keine Einträge im Kernel-Log, und die Veränderung auf dem Datenträger bleibe auch nach einem Neustart des Systems bestehen. In einer technischen Analyse erklärte das Team der Qualys Threat Research Unit, der Angreifer erstelle zunächst einen Reflink-Klon einer Zieldatei — etwa von /etc/passwd oder einer SUID-Root-Binärdatei wie /usr/bin/su — in eine ihm gehörende Arbeitsdatei und löse dann konkurrierende O_DIRECT-Schreibzugriffe auf diese Datei aus.

Laut Qualys gibt es im Copy-on-Write-Allokationspfad des Kernels ein Zeitfenster nach dem Freigeben einer Sperre. Dadurch könne einer dieser Schreibzugriffe nicht im Speicherbereich des Angreifers landen, sondern in dem physischen Block, der noch die ursprüngliche Datei trägt. Die Änderung werde direkt auf den Datenträger geschrieben, überdauere einen Neustart, verursache keine Kernel-Log-Ausgabe und ändere den Inode der Zieldatei nicht. Deshalb behalte etwa eine manipulierte SUID-Root-Binärdatei ihr SUID-Bit.

Die Schwachstelle existiert seit Kernel-Version 4.11. Eingeführt wurde sie laut Quelltext im Februar 2017 mit dem Commit 3c68d44a2b49. Seitdem war sie in sämtlichen Mainline- und Stable-Kernels enthalten. Behoben wurde sie am 16. Juli, nachdem Commit 2f4acd0 in den Linux-Kernel-Quellbaum übernommen worden war.

Zur Liste der betroffenen Distributionen zählen Red Hat Enterprise Linux, Oracle Linux, Amazon Linux und Fedora sowie CentOS Stream, Rocky Linux, AlmaLinux und CloudLinux. Qualys schätzt auf Basis einer Analyse mit seiner Software Cybersecurity Asset Management, dass potenziell mehr als 16,4 Millionen Systeme betroffen sind.

Saeed Abbasi, Leiter der Threat Research Unit von Qualys, zufolge entstand die Entdeckung im Rahmen einer Forschungsinitiative von Qualys und Anthropic. Dabei integrierten die Forscher das KI-Modell Claude Mythos Preview in ihren manuellen Prüfprozess. Das Modell sollte nach einer Race Condition suchen, die der Schwachstellenklasse von Dirty COW ähnelt, identifizierte nach iterativer Verfeinerung die Lücke in XFS und erzeugte einen funktionsfähigen Proof of Concept. Abbasi ergänzte, dass die Sicherheitsforscher von Qualys die Schlussfolgerungen des Modells anschließend überprüften, den Exploit reproduzierten und alle technischen Aussagen unabhängig verifizierten, bevor sie die Offenlegung mit den Kernel-Maintainern koordinierten.

Abbasi empfiehlt, den Kernel umgehend zu patchen, um die Schwachstelle zu neutralisieren. Die Ausnutzung funktioniere unter üblichen Härtungseinstellungen zuverlässig, und die Änderung auf dem Datenträger überstehe einen Neustart. Nach seinen Angaben sind von Herstellern korrigierte Kernel inzwischen verfügbar und werden in Enterprise-Distributionen zurückportiert. Verlässliche oder praxistaugliche Gegenmaßnahmen oder vorübergehende Konfigurationsänderungen gebe es derzeit nicht.