Кручок
Для забеспячэння бяспекі разгортванняў Vercel патрабуецца актыўная канфігурацыя функцый бяспекі, такіх як абарона разгортвання і карыстальніцкія загалоўкі HTTP [S2][S3]. Абапіраючыся на налады па змаўчанні, серада і карыстальнікі могуць быць схільныя несанкцыянаванаму доступу або ўразлівасцям на баку кліента [S2][S3].
Што змянілася
Vercel забяспечвае спецыяльныя механізмы для абароны разгортвання і карыстацкага кіравання загалоўкамі для павышэння ўзроўню бяспекі размешчаных прыкладанняў [S2][S3]. Гэтыя функцыі дазваляюць распрацоўшчыкам абмяжоўваць доступ да асяроддзя і выконваць палітыкі бяспекі на ўзроўні браўзера [S2][S3].
Хто пацярпеў
Арганізацыі, якія выкарыстоўваюць Vercel, закранаюцца, калі яны не наладзілі абарону разгортвання для сваіх асяроддзяў або не вызначылі карыстальніцкія загалоўкі бяспекі для сваіх прыкладанняў [S2][S3]. Гэта асабліва важна для каманд, якія кіруюць канфідэнцыяльнымі данымі або разгортваннямі прыватнага папярэдняга прагляду [S2].
Як працуе праблема
Разгортванні Vercel могуць быць даступныя праз створаныя URL-адрасы, калі абарона разгортвання відавочна не ўключана для абмежавання доступу [S2]. Акрамя таго, без карыстацкіх канфігурацый загалоўкаў у праграмах могуць адсутнічаць важныя загалоўкі бяспекі, такія як Палітыка бяспекі кантэнту (CSP), якія не прымяняюцца па змаўчанні [S3].
Што атрымлівае зламыснік
Зламыснік патэнцыйна можа атрымаць доступ да асяроддзя папярэдняга прагляду з абмежаваннем, калі Абарона ад разгортвання не актыўная [S2]. Адсутнасць загалоўкаў бяспекі таксама павялічвае рызыку паспяховых атак на баку кліента, паколькі ў браўзеры адсутнічаюць інструкцыі, неабходныя для блакіроўкі шкоднасных дзеянняў [S3].
Як FixVibe правярае гэта
FixVibe цяпер супастаўляе гэтую тэму даследавання з двума адпраўленымі пасіўнымі чэкамі. headers.vercel-deployment-security-backfill пазначае URL-адрасы разгортвання, створаныя Vercel, толькі калі звычайны неаўтэнтыфікаваны запыт вяртае адказ 2xx/3xx ад таго ж згенераванага хоста замест Vercel Аўтэнтыфікацыя, SSO, пароль або выклік абароны разгортвання [S2]. headers.security-headers асобна правярае публічны адказ вытворчасці для CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy і абароны ад клікджэкінгу, настроенай праз Vercel або дадатак [S3]. FixVibe не выкарыстоўвае грубую сілу для разгортвання URL-адрасоў і не спрабуе абыйсці абаронены папярэдні прагляд.
Што трэба выправіць
Уключыце абарону разгортвання на прыборнай панэлі Vercel, каб забяспечыць асяроддзе папярэдняга прагляду і вытворчасць [S2]. Акрамя таго, вызначце і разгарніце ўласныя загалоўкі бяспекі ў канфігурацыі праекта, каб абараніць карыстальнікаў ад распаўсюджаных вэб-атак [S3].