Provocarea Vercel Sandbox Dezvăluie o Vulnerabilitate în Kernelul Linux

Vercel a încheiat recent provocarea sa Sandbox de 1 milion de dolari, o inițiativă menită să descopere vulnerabilități de securitate în mediul său sandbox, invitând cercetătorii în securitate să încerce să-i depășească apărările. Provocarea, care a implicat și o revizuire a codului de către experții în securitate cibernetică Trail of Bits, a generat descoperiri semnificative. În mod notabil, niciun raport nu a indicat acces neautorizat la datele clienților, subliniind postura generală de securitate a izolației sandbox Vercel.

Cea mai gravă vulnerabilitate descoperită a fost un defect în stiva de rețea a kernelului Linux upstream, identificat de un cercetător HackerOne. Acest defect a permis trei atacuri distincte prin pachete de rețea special concepute, trimise din interiorul microVM-ului. Aceste atacuri au inclus posibilitatea de a expune memoria gazdei în pachetele de ieșire, de a bloca mașina gazdă și, cel mai critic, de a executa comenzi cu privilegii complete de administrator pe gazdă, încălcând efectiv izolarea sandbox-ului.

Această vulnerabilitate a kernelului Linux reprezintă un risc de infrastructură partajată, deoarece mulți furnizori majori de cloud utilizează același strat de kernel pentru izolarea sarcinilor de lucru ale clienților. Vercel a colaborat cu cercetătorul, AWS și alți parteneri din industrie pentru a prioritiza și implementa o soluție, cu patch-uri în prezent în curs de revizuire privată. Compania dezvăluie vulnerabilitatea datorită dezvăluirii sale publice separate, subliniind importanța unor astfel de provocări publice în identificarea și atenuarea defectelor critice de securitate.