Vercel bestätigt KVM-Zero-Day: Sandbox-Code kann bis zu Root-Rechten auf dem Host ausbrechen

Vercel hat eine Zero-Day-Schwachstelle in KVM bestätigt, dem Virtualisierungsmodul des Linux-Kernels. Ein Sicherheitsforscher hatte gezeigt, dass Code in einer gastseitigen virtuellen Maschine Root-Rechte auf dem Host erlangen kann. Der Fund wurde über das Bug-Bounty-Programm von Vercel Sandbox gemeldet. Vercel zahlte dem Forscher 50.000 US-Dollar, das Maximum, das das Programm für einen einzelnen Bericht vorsieht.

Die Lücke ist relevant, weil Sandboxes für nicht vertrauenswürdigen Code auf KVM als letzte Isolationsschicht angewiesen sind. Vercel betreibt jede Sandbox in einer eigenen Firecracker-microVM, einer leichtgewichtigen virtuellen Maschine auf Basis von KVM. Die microVM-Grenze ist damit die wichtigste Barriere zwischen Nutzercode und Host, und ein Ausbruch vom Gast auf den Host durchbricht sie direkt. Vercel positioniert seine Sandboxes als Umgebung für Code von KI-Agenten. Das Risiko betrifft daher jede Workload, die dort von einem Modell erzeugten Code ausführt.

Der Forscher Paulos Yibelo hat den Fund am 3. Oktober veröffentlicht und als vollständigen VM-Ausbruch beschrieben, der dem Gast in gängigen Hypervisoren Root-Zugriff auf den Host verschafft. Vercel-CEO Guillermo Rauch bestätigte die Lücke anschließend in einem Beitrag auf X. Er bezeichnete sie als KVM-0day, der „die Referenzlösung der Branche für Linux-Virtualisierung“ betrifft, und kündigte eine vollständige technische Analyse an. Cybersecurity News hat die Prämie und die Bestätigung zuerst gemeldet.

Wichtige Details fehlen noch. Die Stellungnahme von Vercel nennt weder eine CVE-Nummer noch betroffene Kernel-Versionen, betroffene Prozessortypen oder einen Patch. Betreiber können daher noch nicht feststellen, ob ihre Hosts verwundbar sind oder ob ihre Linux-Distribution bereits eine Korrektur bereitstellt. Teams mit eigenen KVM-Hosts sollten die Sicherheitshinweise ihres Kernel-Anbieters verfolgen und ihre Konfiguration nach Erscheinen der Analyse mit dem betroffenen Codepfad abgleichen.

Die Höhe der Prämie ist selbst ein Signal. Dass das Programm für einen Hypervisor-Ausbruch den Höchstbetrag zahlt, zeigt, wie ernst die Branche Isolationsfehler in Sandboxes für KI-Agenten inzwischen nimmt. Die technische Analyse wird zeigen, ob es sich um einen eng begrenzten KVM-Fehler handelt oder um eine breitere Problemklasse, die auch andere Sandbox-Architekturen betrifft.