Háček
Zabezpečení nasazení Vercel vyžaduje aktivní konfiguraci bezpečnostních funkcí, jako je Deployment Protection a vlastní HTTP hlavičky [S2][S3]. Spoléhání se na výchozí nastavení může vystavit prostředí a uživatele neoprávněnému přístupu nebo zranitelnostem na straně klienta [S2][S3].
Co se změnilo
Vercel poskytuje specifické mechanismy pro ochranu nasazení a vlastní správu hlaviček pro vylepšení pozice zabezpečení hostovaných aplikací [S2][S3]. Tyto funkce umožňují vývojářům omezit přístup k prostředí a vynutit zásady zabezpečení na úrovni prohlížeče [S2][S3].
Koho se to týká
Organizace používající Vercel jsou ovlivněny, pokud pro svá prostředí nenakonfigurovaly ochranu nasazení nebo nedefinovaly vlastní hlavičky zabezpečení pro své aplikace [S2][S3]. To je zvláště důležité pro týmy spravující citlivá data nebo soukromé náhledové nasazení [S2].
Jak problém funguje
Nasazení Vercel mohou být přístupná prostřednictvím vygenerovaných adres URL, pokud není výslovně povolena ochrana nasazení k omezení přístupu [S2]. Bez vlastních konfigurací hlaviček mohou aplikace navíc postrádat základní bezpečnostní hlavičky, jako je Zásady zabezpečení obsahu (CSP), které se ve výchozím nastavení nepoužívají [S3].
Co získá útočník
Útočník by mohl potenciálně získat přístup k omezenému prostředí náhledu, pokud není aktivní ochrana nasazení [S2]. Absence bezpečnostních hlaviček také zvyšuje riziko úspěšných útoků na straně klienta, protože v prohlížeči chybí pokyny potřebné k blokování škodlivých aktivit [S3].
Jak to testuje FixVibe
FixVibe nyní mapuje toto výzkumné téma na dvě dodané pasivní kontroly. headers.vercel-deployment-security-backfill označí adresy URL nasazení *.vercel.app vygenerované headers.vercel-deployment-security-backfill pouze v případě, že běžný neověřený požadavek vrátí odpověď 2xx/3xx ze stejného vygenerovaného hostitele namísto hesla ZXCVFIXVIBETOKEN, ASOuXVIBET, nebo hesla *.vercel.app Výzva ochrany nasazení [S2]. headers.security-headers samostatně kontroluje odezvu veřejné produkce na CSP, HSTS, možnosti X-Content-Type-Options, Referrer-Policy, Permissions-Policy a clickjacking ZVIBETOKEN nebo clickjacking ZVIBETOKV aplikace [S3]. FixVibe nevynucuje adresy URL pro nasazení hrubou silou ani se nepokouší obejít chráněné náhledy.
Co opravit
Povolte ochranu nasazení v řídicím panelu Vercel, abyste zabezpečili prostředí náhledu a produkčního prostředí [S2]. Dále definujte a nasaďte vlastní bezpečnostní hlavičky v rámci konfigurace projektu, abyste ochránili uživatele před běžnými webovými útoky [S3].