CVE-2026-23007 – Остаточные данные в памяти при холодном старте бессерверных приложений (утечка данных)

Программный код (имитация Lambda на Python)

# lambda_remanence.py - Simulated Lambda environment reuse
import os, secrets

def first_invocation():
    # Simulates storing a secret in a global variable
    global SECRET
    SECRET = secrets.token_hex(16)
    return "Initialized"

def second_invocation():
    # Another function in same container? Actually, separate invocations share memory.
    # Here we just read the global if it exists
    global SECRET
    return SECRET if 'SECRET' in globals() else "No secret"

print("Cold start: ", first_invocation())
print("Warm start: ", second_invocation())

CVE-2026-23007 – Остаточные данные в памяти при холодном старте бессерверных приложений

Обзор

Бессерверные платформы повторно используют среды выполнения (контейнеры) между вызовами функций без обнуления глобальной памяти. Функция злоумышленника, работающая на том же базовом хосте (или даже в той же учётной записи), может получить доступ к остаткам предыдущих выполнений, что приведёт к утечке секретов.

Сведения об уязвимости

Тип: раскрытие информации
Воздействие: утечка секретов между вызовами.
Корневая причина: среда выполнения не очищает глобальное состояние между вызовами функций; переменные сохраняются в памяти до тех пор, пока не будут перезаписаны.

Демонстрация эксплуатации

Выполните:

python lambda_remanence.py

Второй вызов считывает секрет, установленный во время первого.

CVE-2026-23007-Serverless-Cold-Start-Memory-Remanence-Data-Leakage-

Популярное