Vercel har bekreftet en KVM-zero-day som ble oppdaget gjennom selskapets bug bounty-program for Sandbox. Sikkerhetsforsker Paulos Yibelo sier at sårbarheten gjorde det mulig for ham å unnslippe en virtuell gjestemaskin og få root-tilgang til vertssystemet.
Funnet skaper bekymring rundt isolasjonen mellom arbeidsbelastninger i skyen. Offentlige opplysninger identifiserer imidlertid ennå ikke hvilke programvareversjoner som er berørt, den sårbare kodebanen eller de nøyaktige betingelsene som kreves for utnyttelse.
Ingen bekreftede angrep som utnytter sårbarheten, er rapportert. En teknisk forklaring skal etter planen komme senere.
Forsker rapporterer tilgang utenfor gjestemiljøet
KVM, en forkortelse for Kernel-based Virtual Machine, gir virtualiseringsfunksjoner i Linux. Skymiljøer bruker teknologien til å kjøre separate virtuelle maskiner på delt fysisk infrastruktur.
Disse grensene skal forhindre at en arbeidsbelastning inne i én virtuell maskin kan kontrollere vertssystemet. Yibelo sier imidlertid at oppdagelsen hans bryter denne separasjonen.
En bug bounty-melding delt av forskeren beskriver en flukt fra en microVM til en EC2-vert. Den oppgir også potensiell lesing og endring av data på tvers av kunder, samt ekstern kjøring av kode.
Disse rapporterte mulighetene tyder på en alvorlig kompromittering av det berørte miljøet. Den tilgjengelige informasjonen fastslår likevel ikke at alle KVM-installasjoner er utsatt på samme måte.
Tekniske detaljer gjør det bredere omfanget uklart
Vercel Sandbox kjører på fysiske Amazon EC2-verter og bruker KVM sammen med Firecracker, en microVM-teknologi med åpen kildekode.
Vercel bekreftet oppdagelsen, men den offentlige kunngjøringen forklarer ikke hvordan forskeren klarte å krysse isolasjonsgrensen. Den gjør det heller ikke klart hvilken rolle de enkelte komponentene og distribusjonsinnstillingene spilte.
På tidspunktet for offentliggjøringen fulgte det verken med en offentlig CVE-identifikator eller en liste over berørte versjoner. Derfor kan ikke andre operatører avgjøre om de er utsatt basert på kunngjøringen alene.
Root-tilgang til et vertssystem kan sette andre arbeidsbelastninger på samme maskin i fare. Omfanget av eventuell påvirkning på tvers av kunder avhenger imidlertid av den berørte konfigurasjonen og kravene for å utnytte sårbarheten.
KVM-zero-day-sårbarheten krever derfor oppmerksomhet uten at det fastslår at skyinfrastruktur på tvers av bransjen er kompromittert.
Belønningen på 50 000 dollar møter kritikk
Yibelo mottok 50 000 dollar for oppdagelsen, den høyeste individuelle belønningen under Vercel Sandbox» annonserte hackingutfordring på 1 million dollar.
Enkelte sikkerhetseksperter stilte spørsmål ved om betalingen samsvarte med funnets potensielle betydning. Kritikken fokuserte på verdien av sårbarheter som undergraver isolasjonen mellom arbeidsbelastninger i skyen.
Til sammenligning mottok forskeren Hyunwoo Kim tidligere 250 000 dollar gjennom Googles KVMCTF-program for en separat guest-to-host-flukt kalt Januscape.
De to belønningene kom imidlertid fra forskjellige programmer. De tilgjengelige opplysningene fastslår heller ikke at sårbarhetene hadde identiske krav eller konsekvenser.
Forslag om felles finansiering fremhever insentiver for forskning
Vercels teknologidirektør Malte Ubl foreslo å opprette et fond for funn som påvirker infrastruktur som brukes av mange organisasjoner.
En slik løsning kan fordele kostnadene for belønninger mellom virksomheter som drar nytte av forskningen. Yibelo støttet ideen og argumenterte for at sterkere insentiver kan oppmuntre forskere til å rapportere alvorlige sårbarheter.
Samtidig står de umiddelbare tekniske spørsmålene fortsatt ubesvart. En mer omfattende offentliggjøring vil bidra til å fastslå hvilke systemer som er sårbare, hva som kreves for utnyttelse, og hvordan operatører kan håndtere problemet.
0 responses to “KVM-zero-day muliggjør flukt fra virtuelle maskiner, bekrefter Vercel”