ID du bulletin : 2026-015-AWS
Portée : AWS
Type de contenu : important
Date de publication : 07/04/2026 à 15 h 30 (heure du Pacifique)

Description :

Firecracker est une technologie de virtualisation open source spécialement conçue pour la création et la gestion de conteneurs sécurisés à locataires multiples et de services basés sur des fonctions.

Nous avons identifié le problème CVE-2026-5747, causant l’écriture hors limites dans le transport Virtio PCI dans Firecracker 1.13.0 à 1.14.3 et 1.15.0 sur x86_64 et aarch64 qui pourrait permettre à un utilisateur invité local disposant de privilèges root de bloquer le processus de VMM Firecracker ou d’exécuter du code arbitraire sur l’hôte en modifiant les registres de configuration de la file d’attente Virtio après l’activation de l’appareil. L’exécution du code sur l’hôte nécessite des conditions préalables supplémentaires, comme l’utilisation d’un noyau invité personnalisé ou de configurations d’instantané spécifiques.

Aucun service AWS n’est concerné.

Versions concernées : Firecracker 1.13.0 à 1.14.3 et version 1.15.0

Résolution :

Ce problème a été résolu dans les versions 1.14.4 et 1.15.1 de Firecracker. Nous vous recommandons de passer à la dernière version et de vous assurer que tout code dérivé ou issu d’un fork soit mis à jour afin d’intégrer les nouveaux correctifs.

Solutions de contournement
Le transport Virtio PCI est activé via l’indicateur de ligne de commande --enable-pci lors du démarrage de Firecracker. L’ancien transport MMIO est le transport par défaut et n’est pas concerné par ce problème. Les utilisateurs qui ont activé le transport PCI peuvent revenir à MMIO en supprimant l’indicateur --enable-pci de leur invocation Firecracker. Notez que le passage du transport PCI au transport MMIO peut entraîner une réduction du débit d’E/S et une augmentation de la latence.

Références
CVE-2026-5747
GHSA-776c-mpj7-jm3r

Remerciements
Nous remercions Anthropic d’avoir signalé ce problème au programme de divulgation des vulnérabilités d’AWS.

 

Veuillez envoyer un e-mail à l’adresse aws-security@amazon.com pour toute question ou préoccupation en matière de sécurité.