CVE-2026-1386 – Écrasement arbitraire d’un fichier hôte via un lien symbolique dans le jailer Firecracker
ID du bulletin : 2026-003-AWS
Étendue :
AWS
Type de contenu :
important (nécessite une attention particulière)
Date de publication : 23/01/2026 à 12 h 30 (heure du Pacifique)
Description :
Firecracker est une technologie de virtualisation open source spécialement conçue pour la création et la gestion de conteneurs sécurisés à locataires multiples et de services basés sur des fonctions. Firecracker s’exécute dans l’espace utilisateur et utilise la machine virtuelle basée de noyau Linux (KVM) pour créer des microVM. Chaque microVM Firecracker est ensuite isolée à l’aide de barrières de sécurité communes à l’espace utilisateur Linux par un programme complémentaire appelé « jailer ». Le jailer fournit une deuxième ligne de défense au cas où un utilisateur échapperait aux limites de la microVM et il est publié à chaque version de Firecracker.
Nous avons connaissance du problème CVE-2026-1386, lié au jailer Firecracker qui, dans certaines circonstances, peut permettre à un utilisateur d’écraser des fichiers arbitraires dans le système de fichiers hôte.
Les services AWS qui utilisent Firecracker ne sont pas concernés par ce problème, car nous limitons de manière appropriée l’accès à l’hôte et au dossier du jailer, bloquant ainsi les conditions préalables requises pour que l’attaque se produise.
Versions concernées : Firecracker versions 1.13.1 et antérieures et 1.14.0
Résolution :
Ce problème a été résolu dans les versions 1.14.1 et 1.13.2 de Firecracker. Nous recommandons de mettre à jour vers la dernière version et de veiller à ce que tout code bifurqué ou dérivé soit corrigé pour intégrer les nouveaux correctifs.
Solutions de contournement :
Si les utilisateurs ne parviennent pas à effectuer la mise à niveau vers la version 1.14.1 ou 1.13.2 de Firecracker, nous recommandons de protéger le dossier du jailer à l’aide des autorisations utilisateur UNIX afin de limiter leur accès aux seuls utilisateurs fiables à l’aide de ces exemples de commandes.
chown <trusted user> <jail folder path>
chmod 700 <jail folder path>
Références :
Remerciements :
Nous tenons à remercier un chercheur en sécurité indépendant pour sa collaboration dans la résolution de ce problème, via un processus de divulgation coordonnée de vulnérabilité.
Veuillez envoyer un e‑mail à l’adresse aws-security@amazon.com pour toute question ou préoccupation en matière de sécurité.