📖 AI 总结

Cloudflare披露并修复了其Containers平台中的一个跨租户数据泄露漏洞。该漏洞的根因不在Firecracker虚拟机隔离层，而在于底层存储分配器：dm-thin精简配置启用了skip_block_zeroing选项并采用64 KiB块大小，导致单次4 KiB写入仅覆盖所分配64 KiB物理块的一小部分，剩余空间可能残留其他租户容器的磁盘数据，可被原始读取获取。安全研究员通过漏洞赏金计划报告了该问题，测试显示在多个生产部署中可恢复目录结构、数据库页乃至完整的SQLite数据库。Cloudflare在数小时内完成修复部署，并于9月19日完成存量数据清理，未发现恶意利用证据。此事表明，共享基础设施的租户隔离不能仅依赖虚拟机边界，存储层“分配时清零”同样是关键控制项。