Куката
Осигуряването на внедрявания на Vercel изисква активна конфигурация на функции за защита като защита на внедряване и персонализирани HTTP заглавки [S2][S3]. Разчитането на настройки по подразбиране може да остави среди и потребители изложени на неоторизиран достъп или уязвимости от страна на клиента [S2][S3].
Какво се промени
Vercel предоставя специфични механизми за защита на разгръщането и персонализирано управление на заглавките за подобряване на позицията на сигурност на хостваните приложения [S2][S3]. Тези функции позволяват на разработчиците да ограничават достъпа до средата и да прилагат политики за сигурност на ниво браузър [S2][S3].
Кой е засегнат
Организации, използващи Vercel, са засегнати, ако не са конфигурирали Deployment Protection за своите среди или не са дефинирали персонализирани заглавки за защита за своите приложения [S2][S3]. Това е особено критично за екипи, управляващи чувствителни данни или частни внедрявания за предварителен преглед [S2].
Как работи проблемът
Внедряванията на Vercel може да са достъпни чрез генерирани URL адреси, освен ако защитата на внедряването не е изрично активирана за ограничаване на достъпа [S2]. Освен това, без персонализирани конфигурации на заглавки, приложенията може да нямат съществени заглавки за сигурност като Content Security Policy (CSP), които не се прилагат по подразбиране [S3].
Какво получава нападателят
Нападател може потенциално да получи достъп до среди с ограничен предварителен преглед, ако защитата на разполагане не е активна [S2]. Липсата на заглавки за сигурност също увеличава риска от успешни атаки от страна на клиента, тъй като в браузъра липсват инструкциите, необходими за блокиране на злонамерени дейности [S3].
Как FixVibe го тества
FixVibe сега свързва тази изследователска тема с две изпратени пасивни проверки. headers.vercel-deployment-security-backfill маркира Vercel генерирани от *.vercel.app URL адреси за разполагане само когато нормална неупълномощена заявка връща отговор 2xx/3xx от същия генериран хост вместо Vercel Удостоверяване, SSO, парола или предизвикателство за защита на разполагане [S2]. headers.security-headers отделно инспектира публичния производствен отговор за CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и защити от щракване, конфигурирани чрез Vercel или приложението [S3]. FixVibe не използва груба сила за внедряване на URL адреси и не се опитва да заобиколи защитените визуализации.
Какво да поправя
Активирайте Deployment Protection в Vercel таблото за управление, за да защитите предварителни и производствени среди [S2]. Освен това, дефинирайте и разположете персонализирани заглавки за сигурност в конфигурацията на проекта, за да защитите потребителите от често срещани уеб базирани атаки [S3].