ID del boletín: 2026-015-AWS
Alcance: AWS
Tipo de contenido: importante
Fecha de publicación: 07/04/2026 15:30 h PST

Descripción:

Firecracker es una tecnología de virtualización de código abierto diseñada específicamente para crear y administrar contenedores multiinquilino seguros y servicios basados en funciones.

Identificamos el CVE-2026-5747, un problema de escritura fuera de límites en el transporte virtio PCI en las versiones de Firecracker de la 1.13.0 a la 1.14.3 y la 1.15.0 en x86_64 y aarch64 que podía permitir que un usuario invitado local con privilegios de raíz bloqueara el proceso de Firecracker VMM o ejecutara código arbitrario en el host mediante la modificación de los registros de configuración de la cola de virtio tras la activación del dispositivo. Lograr la ejecución del código en el host requiere condiciones previas adicionales, como el uso de un kernel invitado personalizado o configuraciones de instantáneas específicas.

No se ve afectado ningún servicio de AWS.

Versiones afectadas: Firecracker >= 1.13.0 Y <= 1.14.3 Y 1.15.0

Resolución:

Este problema se solucionó en las versiones 1.14.4 y 1.15.1 de Firecracker. Recomendamos actualizar a la versión más reciente y verificar que cualquier código derivado o bifurcado incorpore las nuevas revisiones.

Soluciones alternativas
El transporte virtio PCI se habilita mediante la marca --enable-pci de la línea de comandos al iniciar Firecracker. El transporte MMIO antiguo es el predeterminado y no se ve afectado por este problema. Los usuarios que hayan habilitado el transporte PCI pueden volver a MMIO eliminando la marca --enable-pci de la invocación de Firecracker. Tenga en cuenta que el cambio del transporte de PCI a MMIO puede reducir el rendimiento de E/S y aumentar la latencia.

Referencias
CVE-2026-5747
GHSA-776c-mpj7-jm3r

Reconocimiento
Agradecemos a Anthropic por informar de esta preocupación al Programa de divulgación de vulnerabilidades de AWS.

 

Si tiene alguna pregunta o duda sobre seguridad, envíe un correo electrónico a aws-security@amazon.com.