Το περιεχόμενο της δημοσίευσης στο blog (σε μορφή markdown)

Τι μας αποκαλύπτει το Bug Bounty των 50.000$ της Vercel για το KVM Bug

Ο κόσμος της ασφάλειας είναι σε φρουρής. Ένας ερευνητής κατάφερε να κάνει escape από μια guest εικονική μηχανή για να αποκτήσει πρόσβαση επιπέδου host στην υποδομή της Vercel, και η Vercel του πλήρωσε τα εντυπωσιακά 50.000$ για την ανακάλυψη. Αλλά εδώ είναι η ανατροπή: δεν υπάρχει CVE, δεν υπάρχει patch και δεν υπάρχουν δημόσιες τεχνικές λεπτομέρειες. Όλοι περιμένουν μεχίμηλο για την πλήρη τεχνική περιγραφή.

Γιατί αυτό έχει μεγαλύτερη σημασία από ένα συνηθισμένο Bug Bounty

Ας μιλήσουμε για το τι συμβαίνει στην πραγματικότητα εδώ. Ένα KVM (Kernel-based Virtual Machine) escape σημαίνει ουσιαστικά την έξοδο από τη virtual prison που χωρίζει την εφαρμογή σας από το υποκείμενο σύστημα host. Σκεφτείτε το σαν να δραπετεύετε από ένα κελί μέγιστης ασφαλείας απευθείας στην αίθουσα ελέγχου. Όταν υπάρχει αυτός ο τύπος ευπάθειας σε παραγωγική υποδομή cloud, μιλάμε για πιθανή έκθεση δεδομένων μεταξύ tenants, μη εξουσιοδοτημένη πρόσβαση στο σύστημα και μια πλήρη κατάρρευση του μοντέλου απομόνωσης που καθιστά εφικτή την κοινή φιλοξενία (shared hosting).

Το γεγονός ότι αυτό βρέθηκε μέσω του προγράμματος bug bounty Firecracker sandbox της Vercel είναι σημαντικό. Το Firecracker είναι η τεχνολογία εικονικοποίησης που τροφοδοτεί το AWS Lambda και πολλές λύσεις container-at-scale. Θεωρείται δοκιμασμένη και σχετικά ασφαλής. Έτσι, όταν κάποιος βρίσκει έναν ουσιαστικό διάνυσμα διαφυγής (escape vector), ολόκληρη η βιομηχανία προσέχει.

Η βιομηχανία VPS πρέπει να είναι εξαιρετικά σε εγρήγορση

Εδώ είναι το σημείο που γίνεται προσωπικό για πολλούς από εσάς. Αν διαχειρίζεστε μια επιχείρηση VPS hosting ή χτίζετε προϊόντα σε υποδομή VPS, αυτή η κατάσταση πρέπει να είναι στο radar σας. Τα εργαλεία και οι τεχνολογίες που τροφοδοτούν την αρχιτεκτονική ασφάλειας της Vercel δεν είναι μοναδικά για αυτήν. Η εικονικοποίηση βασισμένη σε KVM είναι η σπονδυλική ραχοκοκαλιά αμέτρητων παρόχων φιλοξενίας, από οικονομικές προσφορές shared VPS έως επιπέδου enterprise cloud deployments.

Η απουσία ενός δημόσιου CVE δημιουργεί μια ενδιαφέρουσα δυναμική. Σε αντίθεση με τις τυπικές ευπάθειες που ακολουθούν προγραμματισμένους χρόνους αποκάλυψης με patches και συμβουλευτικές σημειώσεις, αυτή υπάρχει σε μια κατάσταση ενδιάμεσης κατάστασης (limbo). Η Vercel προφανώς εργάζεται σε εσωτερικές λύσεις μείωσης (mitigations), αλλά το ευρύτερο οικοσύστημα δεν έχει ενημερωθεί επίσημα. Αυτό σημαίνει ότι αμέτρητοι διακομιστές θα μπορούσαν να τρέχουν ευάλπτες ρυθμίσεις αυτή τη στιγμή, περιμένοντας την πλήρη αποκάλυψη όταν οι τεχνικές λεπτομέρειες γίνουν τελικά δημόσιες.

Τι πρέπει να καταλάβουν οι Developers και τα Startups

Αν χτίζετε πάνω σε οποιαδήποτε cloud πλατφόρμα, αυτή η ιστορία πρέπει να ενισχύσει μερικές σημαντικές αρχές. Πρώτον, υποθέστε ότι τίποτα δεν είναι τέλεια απομονωμένο. Η τεχνολογία εικονικοποίησης είναι εξαιρετικά εξελιγμένη, αλλά παραμένει λογισμικό γραμμένο από ανθρώπους. Δεύτερον, η πολυ-tenant φύση της υποδομής cloud σημαίνει ότι οι ευπάθειες στο επίπεδο του hypervisor μπορεί να έχουν επιπτώσεις πέρα από τον μοναδικό tenant σας. Τρίτον, τα bug bounty προγράμματα αποκαλύπτουν ολοένα και πιο σοβαρές ευρήσεις, πράγμα που σημαίνει ότι η βιομηχανία βρίσκει και διορθώνει σιγά αλλά σίγουρα όσα θα μπορούσαν να ανακαλύψουν οι κακόβουλοι παίκτες ανεξάρτητα.

Η πληρωμή των 50.000$ είναι επίσης αξιοσημείωτη. Σημαδεύει ότι οι μεγάλες πλατφόρμες παίρνουν σοβαρά την ασφάλεια της υποδομής τους και είναι πρόθυμες να ανταμείψουν δίκαια τους ερευνητές για ευρήσεις που θα μπορούσαν να έχουν σοβαρές πραγματικές συνέπειες. Αυτό ευθυγραμμίζεται με την αυξανόμενη αναγνώριση ότι η ασφαλής υποδομή είναι ανταγωνιστικό πλεονέκτημα και όχι απλώς ένα λειτουργικό κόστος.

Η προσμονή είναι πραγματική

Η ανυποκμονία της κοινότητας ασφαλείας για την τεχνική περιγραφή δεν είναι απλώς ακαδημαϊκή περιέργεια. Όταν μια ευπάθεια υψηλής αξίας επηρεάζει μια ευρέως διαδεδομένη τεχνολογία χωρίς δημόσια τεκμηρίωση, οι ερευνητές θέλουν να κατανοήσουν το διάνυσμα επίθεσης για αμυντικούς σκοπούς. Θέλουν να ελέγξουν τα δικά τους συστήματα, να αναπτύξουν υπογραφές ανίχνευσης και να προετοιμάσουν διαδικασίες απόκρισης σε περιστατικά πριν η πληροφορία γίνει ευρέως διαθέσιμη.

Εν τωδείας, είναι μια υπενθύμιση ότι η βάση του σύγχρονου cloud computing — τα hypervisors και τα επίπεδα εικονικοποίησης που όλοι εξαρτηκόμαστε — συνεχίζει να είναι ένας ενεργός τομέας έρευνας ασφαλείας. Είτε φιλοξενείτε με έναν μεγάλο πάροχο όπως η Vercel είτε τρέχετε τη δική σας KVM-based VPS υποδομή, το μάθημα είναι σαφές: παραμένετε ενημερωμένοι για τα patches, παρακολουθείτε για ανωμαλίες και μην υποθέτετε ποτέ ότι το επίπεδο απομόνωσης είναι αδιαπέραστο. Είναι μόνο θέμα χρόνου να αναδυθεί η πλήρης ιστορία, και όταν συμβεί, η βιομηχανία θα μάθει κάτι σημαντικό για την κατάσταση της ασφάλειας εικονικοποίησης.

Η τεχνική περιγραφή έρχεται. Μέχρι τότε, θεωρήστε αυτό ως μια προειδοποίηση.