Vercelは10月14日(現地時間)、100万ドルを懸けた「Vercel Sandboxチャレンジ」の結果を公表した。このセキュリティチャレンジにおいて、セキュリティ研究者パウロス・イベロ (Paulos Yibelo) 氏 (pwn.ai) がLinuxカーネルのネットワークスタックにゼロデイ脆弱性を発見し、合計242,000ドルのバウンティが支払われた。この脆弱性により、ホストメモリのネットワーク経由での漏洩、ホストマシンのクラッシュ、ホスト上でのコード実行が可能となるが、顧客データへの不正アクセスは確認されていない。
Vercelは8月、$1M hacker challenge for Vercel Sandboxを開始し、セキュリティ研究者に対しVercel Sandboxからのエスケープを試みるよう呼びかけた。同社はサイバーセキュリティ専門家トレイル・オブ・ビッツ (Trail of Bits) と協力し、ソースコードとセキュリティアーキテクチャのレビューも実施。2週間にわたるチャレンジでは1,285件のレポートが寄せられ、そのうち57件が有効と判断された。
最も重大な発見は、研究者パウロス・イベロ (Paulos Yibelo) 氏がLinuxカーネルのネットワークスタックで特定したゼロデイ脆弱性である。同氏は、マイクロVM (microVM) 内から特別に作成されたパケットを送信することで、ホストメモリのネットワーク経由での漏洩、ホストマシンのクラッシュ、およびホスト上でのコード実行という3種類の攻撃が可能になることを明らかにした。ホストメモリの漏洩はVercelのプロダクションサンドボックスで実証され、クラッシュとコード実行の攻撃は研究者自身のKVMおよびFirecrackerマシンで実証された。
Vercelは脆弱性の通知後、研究者と協力して緩和策を講じ、AWSなどの業界パートナーと連携して修正を優先した。修正プログラムは現在非公開でレビュー中であり、CVE (Common Vulnerabilities and Exposures) は保留中である。この脆弱性は、主要なクラウドプロバイダーの多くが顧客ワークロードをLinuxカーネルの同じ層で分離しているため、共有インフラストラクチャにおけるリスクとなる。また、Vercelのインターンであるマルコス・ヘルナンデス (Marcos Hernanez) 氏は、Linux device-mapperストレージ層におけるクロステナントデータ漏洩を発見した。これは以前に削除されたサンドボックスから再利用されたディスクブロックを読み取れる脆弱性だった。
参考: Vercel Blog (アーカイブ) — 2026年10月14日 16:00 (JST)