Vercel vừa công bố kết quả chương trình bảo mật Sandbox Challenge trị giá 1 triệu USD, chi trả tổng cộng 242.000 USD tiền thưởng sau khi nhận 1.285 báo cáo trong vòng hai tuần. Phát hiện nghiêm trọng nhất là một lỗ hổng zero-day nằm trong ngăn xếp mạng của nhân Linux (Linux kernel), cho phép kẻ tấn công thoát khỏi môi trường microVM để thực thi mã độc và chiếm quyền kiểm soát máy chủ vật lý.
Lỗ hổng zero-day được chuyên gia Paulos Yibelo (pwn.ai) phát hiện vào ngày thứ ba của thử thách thông qua nền tảng HackerOne. Bằng cách gửi các gói tin tùy biến từ bên trong sandbox tiêu chuẩn, Yibelo chứng minh ba kỹ thuật tấn công: làm rò rỉ bộ nhớ của máy chủ qua mạng, đánh sập máy chủ vật lý chỉ bằng hai gói tin, và thực thi câu lệnh với toàn quyền quản trị trên host để phá vỡ ranh giới cách ly. Vercel cho biết lỗ hổng này ảnh hưởng đến hạ tầng chung của nhiều nhà cung cấp đám mây và công ty đã phối hợp với AWS cùng đội ngũ duy trì nhân Linux để chuẩn bị bản vá kín, trong khi mã định danh CVE đang chờ phát hành.
Trong tổng số 1.285 báo cáo gửi về, Vercel ghi nhận 57 báo cáo hợp lệ, gồm 1 lỗi Critical, 5 lỗi High, 9 lỗi Medium và 42 lỗi Low. Một phát hiện đáng chú ý khác liên quan đến cơ chế khôi phục snapshot ổ đĩa: máy chủ đã tiếp nhận và tin tưởng dữ liệu vị trí do phần mềm trong máy khách gửi lên. Lỗ hổng này cho phép hoán đổi dữ liệu snapshot giữa hai tài khoản thử nghiệm do cùng một người sở hữu. Vercel đã chuyển việc tạo snapshot về dịch vụ phía máy chủ và triển khai bản vá trong vòng một tuần.
Song song với chương trình mở, công ty an ninh mạng Trail of Bits đã dành bốn tuần-kỹ sư rà soát toàn bộ mã nguồn của Vercel Sandbox. Đơn vị này xác nhận kiến trúc ảo hóa bằng Firecracker microVM là an toàn, đồng thời đưa ra 20 phát hiện kỹ thuật để loại bỏ hoàn toàn việc tin cậy máy khách và siết chặt quyền hạn bằng công cụ jailer của Firecracker. Ngoài ra, Marcos Hernanez, một thực tập sinh tại Vercel, cũng phát hiện lỗi rò rỉ dữ liệu giữa các người dùng trong tầng lưu trữ device-mapper của Linux. Vercel xác nhận không có báo cáo nào cho thấy dữ liệu, bí mật hay mã nguồn của khách hàng bị xâm nhập trái phép.