이번 소식
Vercel이 2026년 10월 14일 Sandbox 보안 챌린지 결과를 공개했습니다. 8월에 시작해 2주 동안 진행한 점검의 결과 보고로, 새 기능 출시가 아니라 실행 환경의 보안 문제와 대응 상태를 알리는 소식입니다.
달라진 점
Vercel은 접수한 보고 1,285건 중 57건을 유효한 발견으로 인정하고, 보상금 24만 2,000달러를 지급했다고 밝혔습니다. 주요 발견에는 Sandbox를 실행하는 호스트의 Linux 커널 네트워킹 부분에서 확인된 새로운 취약점이 포함됐습니다.
운영 환경에서 입증된 결과와 연구자 환경에서 확인된 결과가 다릅니다. 실제 Vercel Sandbox에서는 호스트 메모리 내용이 유출될 수 있음을 입증했습니다. 호스트 중단과 코드 실행은 연구자가 별도로 구성한 대응 KVM·Firecracker 환경에서 확인됐습니다. 이를 실제 고객 서비스에서 코드 실행이 일어났다는 뜻으로 확대하면 안 됩니다.
Vercel은 고객의 파일·비밀정보·애플리케이션 데이터에 접근한 것으로 입증된 보고는 없다고 설명했습니다. 이는 회사가 공개한 점검 결과이며, 모든 가능성이 해소됐다는 보장으로 읽어서는 안 됩니다.
어떤 점이 달라지나요?
Sandbox를 사용하는 개발팀은 실행 환경의 격리가 어떤 방식으로 점검됐는지와, 발견된 문제의 대응이 어디까지 진행됐는지를 구분해 볼 수 있습니다. 이번 보고에서 운영 환경에 관한 사실은 메모리 유출 입증까지이며, 연구 환경의 추가 결과와 고객 데이터 접근 여부는 각각 따로 설명됩니다.
사용 전 확인할 점
Vercel은 통보 뒤 연구자 및 AWS 등과 완화·수정 작업을 진행했다고 밝혔지만, 커널 수정은 비공개 검토 중이고 CVE 식별번호도 발급 대기 상태라고 설명합니다. 공개 패치 완료 시점은 이 발표에서 확인되지 않습니다.
별도로 발견된 스냅샷 신뢰 경계 문제는 일주일 안에 수정이 배포됐다고 밝혔습니다. 이 일정을 커널 취약점의 수정 완료 시점으로 적용하면 안 됩니다. 원문은 고객에게 특정 업데이트나 키 교체를 요구하지 않으므로, 임의의 조치를 추가하기보다 후속 공식 안내에서 수정 상태를 확인하는 것이 좋습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.