Qarmaq
Vercel yerləşdirmələrinin təhlükəsizliyini təmin etmək Yerləşdirmə Mühafizəsi və xüsusi HTTP başlıqları [S2][S3] kimi təhlükəsizlik xüsusiyyətlərinin aktiv konfiqurasiyasını tələb edir. Defolt parametrlərə etibar etmək mühitləri və istifadəçiləri icazəsiz girişə və ya müştəri tərəfi zəifliklərinə məruz qoya bilər. [S2][S3].
Nə dəyişdi
Vercel, [S2][S3] yerləşdirilən proqramların təhlükəsizlik vəziyyətini artırmaq üçün Yerləşdirmə Mühafizəsi və fərdi başlığın idarə edilməsi üçün xüsusi mexanizmlər təqdim edir. Bu xüsusiyyətlər tərtibatçılara ətraf mühitə girişi məhdudlaşdırmağa və [S2][S3] brauzer səviyyəli təhlükəsizlik siyasətlərini tətbiq etməyə imkan verir.
Kim təsirlənir
Vercel-dən istifadə edən təşkilatlar, əgər onlar öz mühitləri üçün Yerləşdirmə Qorumasını konfiqurasiya etməmişlərsə və ya [S2][S3] tətbiqləri üçün fərdi təhlükəsizlik başlıqlarını təyin etməmişlərsə, təsirə məruz qalırlar. Bu, həssas məlumatları və ya [S2] özəl ilkin baxış yerləşdirmələrini idarə edən komandalar üçün xüsusilə vacibdir.
Problem necə işləyir
Vercel yerləşdirmələri, [S2] girişini məhdudlaşdırmaq üçün Yerləşdirmə Qoruma açıq şəkildə aktivləşdirilmədiyi halda, yaradılan URL-lər vasitəsilə əldə edilə bilər. Əlavə olaraq, fərdi başlıq konfiqurasiyaları olmadan tətbiqlərdə defolt [S3] kimi tətbiq edilməyən Məzmun Təhlükəsizlik Siyasəti (CSP) kimi əsas təhlükəsizlik başlıqları olmaya bilər.
Təcavüzkar nə əldə edir
Yerləşdirmə Müdafiəsi aktiv [S2] olmasa, təcavüzkar potensial olaraq məhdudlaşdırılmış önizləmə mühitlərinə daxil ola bilər. Təhlükəsizlik başlıqlarının olmaması həmçinin uğurlu müştəri hücumları riskini artırır, çünki brauzerdə [S3] zərərli fəaliyyətləri bloklamaq üçün lazım olan təlimatlar yoxdur.
FixVibe bunu necə sınaqdan keçirir
FixVibe indi bu tədqiqat mövzusunu iki göndərilmiş passiv çeklə əlaqələndirir. headers.vercel-deployment-security-backfill bayraqları Vercel tərəfindən yaradılan *.vercel.app yerləşdirmə URL-lərini yalnız adi təsdiqlənməmiş sorğu ZXCVIX, SXCVXVVVBETSOXV8 Authentication əvəzinə eyni yaradılan hostdan 2xx/3xx cavabı qaytardıqda qeyd edir. parol və ya Yerləşdirmə Qoruma problemi [S2]. headers.security-headers ayrıca CSP, HSTS, X-Content-Type-Options, Referrer-Siyasət, İcazələr-Siyasət və konfiqurasiya edilmiş müdafiə üçün ictimai istehsal cavabını yoxlayır. Vercel və ya [S3] tətbiqi. FixVibe yerləşdirmə URL-lərini kobud şəkildə tətbiq etmir və ya qorunan önizləmələri keçməyə çalışmır.
Nəyi düzəltmək lazımdır
[S2] önizləmə və istehsal mühitlərini təmin etmək üçün Vercel tablosunda Yerləşdirmə Qorumasını aktiv edin. Bundan əlavə, istifadəçiləri [S3] ümumi veb-əsaslı hücumlardan qorumaq üçün layihə konfiqurasiyası daxilində xüsusi təhlükəsizlik başlıqlarını müəyyənləşdirin və yerləşdirin.