Vercel har bekræftet en KVM-zero-day, der blev opdaget gennem virksomhedens bug bounty-program for Sandbox. Sikkerhedsforskeren Paulos Yibelo siger, at sårbarheden gjorde det muligt for ham at slippe ud af en virtuel gæstemaskine og opnå root-adgang til værtssystemet.
Fundet skaber bekymring om isolationen mellem workloads i skyen. Offentlige oplysninger identificerer dog endnu ikke de berørte softwareversioner, den sårbare kodesti eller de præcise betingelser, der kræves for at udnytte sårbarheden.
Der er ikke rapporteret nogen bekræftede angreb, der udnytter sårbarheden. En teknisk forklaring forventes angiveligt at blive offentliggjort senere.
Forsker rapporterer adgang uden for gæstemiljøet
KVM, en forkortelse for Kernel-based Virtual Machine, leverer virtualiseringsfunktioner i Linux. Cloudmiljøer bruger teknologien til at køre separate virtuelle maskiner på delt fysisk infrastruktur.
Disse grænser skal forhindre en workload i én virtuel maskine i at kontrollere værtssystemet. Yibelo siger dog, at hans opdagelse bryder denne adskillelse.
En bug bounty-meddelelse, som forskeren har delt, beskriver en flugt fra en microVM til en EC2-vært. Den nævner også potentiel læsning og ændring af data på tværs af kunder samt fjernudførelse af kode.
Disse rapporterede muligheder tyder på en alvorlig kompromittering af det berørte miljø. De tilgængelige oplysninger fastslår dog ikke, at alle KVM-installationer er udsat på samme måde.
Tekniske detaljer gør det bredere omfang uklart
Vercel Sandbox kører på fysiske Amazon EC2-værter og bruger KVM sammen med Firecracker, en open source-microVM-teknologi.
Vercel bekræftede opdagelsen, men den offentlige meddelelse forklarer ikke, hvordan forskeren krydsede isolationsgrænsen. Den gør heller ikke de enkelte komponenters og implementeringsindstillingers rolle klar.
På tidspunktet for offentliggørelsen var rapporten ikke ledsaget af et offentligt CVE-nummer eller en liste over berørte versioner. Derfor kan andre operatører ikke afgøre deres eksponering ud fra meddelelsen alene.
Root-adgang til et værtssystem kan bringe andre workloads på den samme maskine i fare. Omfanget af en eventuel påvirkning på tværs af kunder afhænger dog af den berørte konfiguration og kravene til udnyttelsen.
KVM-zero-day-sårbarheden kræver derfor opmærksomhed uden at fastslå, at cloudinfrastruktur på tværs af branchen er blevet kompromitteret.
Belønningen på 50.000 dollar møder kritik
Yibelo modtog 50.000 dollar for opdagelsen, den højeste individuelle belønning under Vercel Sandbox’ annoncerede hackingudfordring på 1 million dollar.
Nogle sikkerhedseksperter satte spørgsmålstegn ved, om betalingen svarede til fundets potentielle betydning. Kritikken fokuserede på værdien af sårbarheder, der underminerer isolationen mellem workloads i skyen.
Til sammenligning modtog forskeren Hyunwoo Kim tidligere 250.000 dollar gennem Googles KVMCTF-program for en separat guest-to-host-flugt kaldet Januscape.
De to belønninger kom dog fra forskellige programmer. De tilgængelige oplysninger fastslår heller ikke, at sårbarhederne havde identiske krav eller konsekvenser.
Forslag om fælles finansiering fremhæver incitamenter til forskning
Vercels teknologidirektør Malte Ubl foreslog at oprette en fond for opdagelser, der påvirker infrastruktur, som bruges af mange organisationer.
En sådan tilgang kan fordele omkostningerne ved belønninger mellem virksomheder, der drager fordel af forskningen. Yibelo støttede idéen og argumenterede for, at stærkere incitamenter kan tilskynde forskere til at offentliggøre alvorlige sårbarheder.
I mellemtiden er de umiddelbare tekniske spørgsmål fortsat ubesvarede. En mere omfattende offentliggørelse vil hjælpe med at fastslå, hvilke systemer der er sårbare, hvad udnyttelsen kræver, og hvordan operatører kan håndtere problemet.
0 svar til “KVM-zero-day muliggør flugt fra virtuelle maskiner, bekræfter Vercel”