হুক
Vercel স্থাপনাগুলি সুরক্ষিত করার জন্য সুরক্ষা বৈশিষ্ট্যগুলির সক্রিয় কনফিগারেশন প্রয়োজন যেমন স্থাপনার সুরক্ষা এবং কাস্টম HTTP শিরোনাম [S2][S3]৷ ডিফল্ট সেটিংসের উপর নির্ভর করলে পরিবেশ এবং ব্যবহারকারীরা অননুমোদিত অ্যাক্সেস বা ক্লায়েন্ট-সাইড দুর্বলতার মুখোমুখি হতে পারে [S2][S3]।
কি পরিবর্তন হয়েছে
Vercel হোস্ট করা অ্যাপ্লিকেশন [S2][S3] এর নিরাপত্তা ভঙ্গি বাড়ানোর জন্য স্থাপনার সুরক্ষা এবং কাস্টম হেডার ব্যবস্থাপনার জন্য নির্দিষ্ট প্রক্রিয়া প্রদান করে। এই বৈশিষ্ট্যগুলি বিকাশকারীদের পরিবেশ অ্যাক্সেস সীমাবদ্ধ করতে এবং ব্রাউজার-স্তরের নিরাপত্তা নীতি [S2][S3] প্রয়োগ করতে সক্ষম করে৷
কারা আক্রান্ত
Vercel ব্যবহার করা সংস্থাগুলি প্রভাবিত হয় যদি তারা তাদের পরিবেশের জন্য স্থাপনার সুরক্ষা কনফিগার না করে থাকে বা তাদের অ্যাপ্লিকেশনগুলির জন্য [S2][S3] সংজ্ঞায়িত কাস্টম নিরাপত্তা শিরোনাম না করে থাকে। সংবেদনশীল ডেটা বা ব্যক্তিগত পূর্বরূপ স্থাপনা [S2] পরিচালনাকারী দলগুলির জন্য এটি বিশেষভাবে গুরুত্বপূর্ণ৷
সমস্যাটি কীভাবে কাজ করে
Vercel স্থাপনাগুলি জেনারেট করা ইউআরএলগুলির মাধ্যমে অ্যাক্সেসযোগ্য হতে পারে যদি না ডিপ্লয়মেন্ট সুরক্ষা স্পষ্টভাবে [S2] অ্যাক্সেস সীমাবদ্ধ করতে সক্ষম করা হয়৷ অতিরিক্তভাবে, কাস্টম হেডার কনফিগারেশন ব্যতীত, অ্যাপ্লিকেশনগুলিতে প্রয়োজনীয় সুরক্ষা শিরোনামের অভাব থাকতে পারে যেমন বিষয়বস্তু সুরক্ষা নীতি (CSP), যা ডিফল্ট [S3] দ্বারা প্রয়োগ করা হয় না৷
একজন আক্রমণকারী কি পায়
ডিপ্লোয়মেন্ট প্রোটেকশন [S2] সক্রিয় না থাকলে একজন আক্রমণকারী সম্ভাব্যভাবে সীমাবদ্ধ পূর্বরূপ পরিবেশ অ্যাক্সেস করতে পারে। নিরাপত্তা হেডারের অনুপস্থিতি সফল ক্লায়েন্ট-সাইড আক্রমণের ঝুঁকি বাড়ায়, কারণ ব্রাউজারে দূষিত ক্রিয়াকলাপগুলি [S3] ব্লক করার জন্য প্রয়োজনীয় নির্দেশাবলীর অভাব রয়েছে৷
কিভাবে FixVibe এর জন্য পরীক্ষা করে
FixVibe এখন এই গবেষণার বিষয়টিকে দুটি শিপড প্যাসিভ চেকের সাথে ম্যাপ করে। headers.vercel-deployment-security-backfill ফ্ল্যাগ Vercel-জেনারেটেড *.vercel.app ডিপ্লোয়মেন্ট ইউআরএলগুলি শুধুমাত্র তখনই যখন একটি স্বাভাবিক অননুমোদিত অনুরোধ একই জেনারেট করা হোস্ট থেকে একটি ZXCVXVIXVC8AUZXVIBTOKFI এর পরিবর্তে 2xx/3xx প্রতিক্রিয়া প্রদান করে, SSO, পাসওয়ার্ড, অথবা ডিপ্লয়মেন্ট প্রোটেকশন চ্যালেঞ্জ [S2]। headers.security-headers আলাদাভাবে CSP, HSTS, X-সামগ্রী-প্রকার-বিকল্প, রেফারার-নীতি, অনুমতি-নীতি, এবং কনফিগার করা প্রতিরক্ষার মাধ্যমে ক্লিক করার জন্য সর্বজনীন উত্পাদন প্রতিক্রিয়া পরিদর্শন করে Vercel বা অ্যাপ্লিকেশন [S3]। FixVibe ব্রুট-ফোর্স ডিপ্লয়মেন্ট ইউআরএল বা সুরক্ষিত পূর্বরূপ বাইপাস করার চেষ্টা করে না।
কি ঠিক করবেন
পূর্বরূপ এবং উত্পাদন পরিবেশ [S2] সুরক্ষিত করতে Vercel ড্যাশবোর্ডে স্থাপনার সুরক্ষা সক্ষম করুন৷ অধিকন্তু, সাধারণ ওয়েব-ভিত্তিক আক্রমণ থেকে ব্যবহারকারীদের রক্ষা করতে প্রকল্প কনফিগারেশনের মধ্যে কাস্টম সুরক্ষা শিরোনামগুলি সংজ্ঞায়িত করুন এবং স্থাপন করুন [S3]৷