Firecracker 快照還原記憶體隔離漏洞：AWS 託管服務不受影響
情報摘要
AWS 公布 CVE-2026-122192，影響 Firecracker v0.23.0 至 v1.16.1。在以 File memory backend 從快照還原、設有 balloon 或 virtio-mem 裝置且符合特定主機記憶體條件的 VM 中，訪客系統內的 root 使用者可能讀取或修改 Firecracker 行程記憶體。v1.16.2 及 v1.17.0 已修復。AWS 明確表示包括 Lambda 在內的 AWS 服務不受影響，該等服務客戶無需採取行動。
問題涉及訪客記憶體丟棄失敗後的映射處理。在特定主機記憶體條件下，部分訪客記憶體範圍可能變成未映射，而 Firecracker 仍繼續運行；其後配置到該範圍的行程記憶體可能被訪客 root 讀取或修改。
利用前提包括訪客內 root 權限、從快照以 File memory backend 還原、balloon 或 virtio-mem 裝置，以及特定主機記憶體條件。未經快照直接啟動的 VM，或使用 Uffd memory backend 還原的 VM，不受此問題影響。
修補保留替換記憶體映射所需的原有 MAP_NORESERVE 旗標；若替換映射失敗，Firecracker 會終止該行程及 VM，避免帶著無效的訪客記憶體映射繼續運行。
AWS 提供的其他暫緩措施包括在指定核心條件下調整 overcommit 與最大丟棄記憶體範圍，以及保持 memory cgroup 的 OOM killer 啟用。公告明言這些措施無法防止所有替換映射失敗；營運者須按官方條件評估，優先安排升級。
AWS 公告標示 2026 年 11 月 4 日 11:30 AM PST，即香港時間 11 月 5 日凌晨 3:30；本頁保留來源的 11 月 4 日公告日期，編輯日期使用香港時間。修補版本已於較早的正式版本發布，公告日期不等於修補首次提供日期。
受影響產品
自管 Firecracker v0.23.0 至 v1.16.1（包含兩端），且使用 File memory backend 從快照還原並配置 balloon 或 virtio-mem。受支援版本線中 v1.16.0 與 v1.16.1 受影響。
適用讀者
自管 Firecracker 微型虛擬機、快照還原服務及相關 fork 的營運和資安團隊。只使用 AWS Lambda 等 AWS 託管服務的客戶，按公告無需就此漏洞採取行動。
建議行動
符合受影響還原條件的自管部署應升級至 Firecracker v1.16.2、v1.17.0 或更新的適用版本，fork 或衍生程式碼須納入相應修補。升級前檢查快照相容性：v1.16.2 發行說明指出，其快照與 v1.16.0、v1.16.1 不能互相載入。未能即時升級時，可按官方文件改用 Uffd memory backend 還原，並遵守已丟棄頁面的處理要求。主機記憶體設定調整只能減輕部分已知條件，不能當作完整修復。
風險評級依據
Firecracker 維護方 GHSA-48ww-rqpp-2mgm 評為 High，CVSS 3.1 基本分數 7.5，向量為 CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H。AWS 公告另標示 Important（需要注意）；這不是另一個 CVSS 分數。
解讀限制
此處確認的是特定條件下 Firecracker（VMM）行程記憶體的讀寫風險，不是普遍取得主機 root 權限或攻陷所有其他 VM 的證據。
AWS 公告明確排除包括 AWS Lambda 在內的 AWS 服務。自行運行 Firecracker 的部署須另行檢查，不能將託管服務不受影響的結論套用到自管軟件。
Uffd 暫緩方案有已丟棄頁面的處理要求；主機 overcommit 與 OOM 設定措施並不完整，亦不適合不經相容性評估便套用。
所核對的官方來源未聲稱已發生野外利用，亦未提供香港受影響個案或部署規模；本頁不推定本地用戶必然受影響。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。