CVE-2026-85028：AWS FPGA 开发工具本地提权漏洞修复
AWS 最新重要安全公告披露 aws-fpga 安装组件使用不安全临时文件，可能让本地用户以高权限执行代码，直接用户需升级至修复版本。
CVE-2026-85028：aws-fpga 用户应立即核对版本
AWS 发布重要安全公告 CVE-2026-85028，问题位于 AWS FPGA Development Kit 的 FPGA 管理工具安装组件。公告指出，2.3.4 之前的 aws-fpga 在权限不安全的目录中创建可预测临时文件，本地用户可能放置构造的 shell 内容，并在安装步骤提升权限后被读取，从而以 root 权限执行代码。
谁处于受影响范围
风险针对直接安装或维护 aws-fpga 工具链的环境，尤其是多人共享开发主机、构建节点和长期保存云凭据的工作站。攻击者需要本地访问条件，但一旦成功，影响权限可提升至 root，因此不能因为漏洞不是远程入口就忽略。
先在软件清单、构建镜像、启动脚本和长期分支中搜索 aws-fpga，确认实际部署版本。不要只检查源代码仓库的声明，还要核对已构建镜像、缓存制品和仍在运行的开发实例。AWS 官方仓库说明该工具包用于 EC2 FPGA 硬件与软件开发，使用 F2 等相关工作流的团队应优先排查。
漏洞为何危险
临时目录通常允许多个本地用户写入。若高权限安装程序使用可预测路径，并在提升权限后读取其中内容，低权限用户可能抢先创建或替换文件。这里的根因是跨越权限边界时没有安全创建和验证临时文件，而 shell 内容又扩大了可执行范围。
共享构建机的风险更高，因为提交者、自动化账号和管理员工具可能处于同一主机。即使没有发现异常文件，也不能证明环境安全；攻击痕迹可能已经被清理，唯一可靠的处置仍是升级并复核凭据。
官方修复与升级动作
AWS 公告将修复版本列为 aws-fpga 2.3.4。受影响用户应从官方来源取得修复版本，重新构建相关环境，并避免继续运行旧安装组件。维护 fork 或内部镜像的团队需要确认上游修复已经合并，而不是只修改版本标签。
升级前记录当前依赖和构建结果，在隔离环境完成安装与项目验证。升级后替换基础镜像和缓存，检查持续集成节点是否仍从旧制品恢复。对于无法立即销毁的主机，应限制本地登录、暂停高权限安装流程，并尽快安排正式升级；临时限制不能替代修复。
事件响应检查表
检查近期谁能够登录相关主机，谁可以触发安装脚本，以及任务运行时暴露了哪些云凭据、制品令牌和签名材料。审计临时目录、shell 历史、sudo 日志、构建日志与异常进程。若存在可疑执行，应按潜在 root 入侵处理，隔离节点并轮换在该环境出现过的凭据。
重建通常比在原主机上继续清理更可靠。使用已修复版本创建新镜像，恢复经过验证的源代码和配置，再逐步恢复任务。系统侧加固可参考Linux 服务器安全基线，凭据管理则可结合OpenSSH 用户证书教程减少长期密钥。
对构建环境的长期启示
安装脚本不应信任共享临时目录中的普通文件。开发工具应使用安全临时文件 API、随机名称、独占创建和严格权限，并避免把文件内容交给 shell 解释。构建节点则应采用短生命周期、最小权限和任务隔离，完成后销毁环境与临时凭据。
CVE-2026-85028 的处置结论清晰：定位直接使用者，升级到 2.3.4 或更高版本，清除旧镜像与缓存，并按主机暴露情况决定是否轮换凭据和重建节点。及时完成这些动作，比依赖临时目录清理或人工观察更可靠。
