Vercel confirma zero-day no KVM que permite a código de sandbox escapar para root no host

A Vercel confirmou uma vulnerabilidade zero-day no KVM, o módulo de virtualização do kernel Linux, depois que um pesquisador de segurança demonstrou que código dentro de uma máquina virtual convidada podia obter acesso root no host. A descoberta chegou pelo programa de bug bounty da Vercel Sandbox, que pagou ao pesquisador US$ 50 mil, o máximo que o programa permite por um único relatório.

A falha importa porque sandboxes que executam código não confiável dependem do KVM como a última camada de isolamento. A Vercel executa cada sandbox dentro de uma microVM Firecracker própria, uma máquina virtual leve construída sobre o KVM, então o limite da microVM é a principal barreira entre o código do usuário e o host. Uma fuga do convidado para o host atravessa essa barreira diretamente. A Vercel apresenta seus sandboxes como um lugar para rodar código de agentes de IA, o que torna o risco relevante para qualquer carga de trabalho que execute ali código gerado por modelo.

O pesquisador Paulos Yibelo anunciou a descoberta em 3 de outubro e a descreveu como uma fuga completa de máquina virtual que dá ao convidado acesso root no host em hipervisores padrão. Em seguida, o CEO da Vercel, Guillermo Rauch, confirmou a vulnerabilidade em uma publicação no X, chamando-a de 0day do KVM que afeta “a solução padrão-ouro da indústria para virtualização em Linux”, e prometeu uma análise técnica completa. A Cybersecurity News foi a primeira a reportar a recompensa e a confirmação.

Ainda faltam detalhes. O comunicado da Vercel não cita CVE, versões do kernel afetadas, tipos de processador envolvidos nem correção. Os operadores ainda não conseguem saber se seus hosts estão expostos ou se a distribuição Linux deles já tem um patch. Equipes que rodam seus próprios hosts KVM devem acompanhar os avisos de segurança do fornecedor do kernel e comparar a configuração com o caminho de código afetado assim que a análise técnica for publicada.

O valor da recompensa já é um sinal. Pagar o teto do programa por uma fuga de hipervisor mostra o quanto a indústria passou a levar a sério falhas de isolamento em sandboxes de agentes. A análise técnica vai mostrar se se trata de uma falha restrita ao KVM ou de uma classe mais ampla de problemas que também afeta outros designs de sandbox.