Konks
Vercel juurutuste turvamine nõuab turbefunktsioonide (nt juurutuskaitse ja kohandatud HTTP-päised [S2][S3]) aktiivset konfigureerimist. Vaikesätetele tuginemine võib jätta keskkonnad ja kasutajad avatuks volitamata juurdepääsule või kliendipoolsetele haavatavustele [S2][S3].
Mis muutus
Vercel pakub juurutamise kaitseks ja kohandatud päisehalduseks spetsiifilisi mehhanisme, et parandada hostitud rakenduste turvalisust [S2][S3]. Need funktsioonid võimaldavad arendajatel piirata juurdepääsu keskkonnale ja jõustada brauseri tasemel turbepoliitikaid [S2][S3].
Keda see mõjutab
Vercel-d kasutavaid organisatsioone mõjutab see, kui nad pole oma keskkondade jaoks konfigureerinud juurutuskaitset ega määratlenud oma rakenduste jaoks kohandatud turbepäiseid [S2][S3]. See on eriti oluline meeskondade jaoks, kes haldavad tundlikke andmeid või privaatset eelvaate juurutust [S2].
Kuidas probleem toimib
Vercel juurutustele võib juurde pääseda loodud URL-ide kaudu, välja arvatud juhul, kui juurutamise kaitse on selgesõnaliselt lubatud juurdepääsu piiramiseks [S2]. Lisaks võivad ilma kohandatud päisekonfiguratsioonideta rakendustel puududa olulised turbepäised, nagu sisu turbepoliitika (CSP), mida vaikimisi ei rakendata [S3].
Mida ründaja saab
Ründaja võib juurdepääsu piiratud eelvaatekeskkondadele, kui juurutuskaitse pole aktiivne. [S2]. Turvapäiste puudumine suurendab ka edukate kliendipoolsete rünnakute ohtu, kuna brauseris puuduvad pahatahtliku tegevuse blokeerimiseks vajalikud juhised [S3].
Kuidas FixVibe seda testib
FixVibe kaardistab nüüd selle uurimisteema kahe saadetud passiivse kontrolliga. headers.vercel-deployment-security-backfill märgistab Vercel loodud *.vercel.app juurutamise URL-id ainult siis, kui tavaline autentimata päring tagastab 2xx/3xx vastuse samalt genereeritud hostilt, mitte parooli Vercel, ZXCVSOuthenticC,VSOuthenticC,VSOuthenticC, või juurutuskaitse väljakutse [S2]. headers.security-headers kontrollib eraldi avalikku tootmisvastust CSP, HSTS, X-sisu tüübi valikute, viitaja poliitika, lubade poliitika ja klõpsamise kaudu Vercel või rakendus [S3]. FixVibe ei kasuta juurutamise URL-e jõhkralt jõuga ega püüa kaitstud eelvaatest mööda minna.
Mida parandada
Lubage juurutuskaitse Vercel armatuurlaual, et kindlustada eelvaate- ja tootmiskeskkond [S2]. Lisaks määrake ja juurutage projekti konfiguratsioonis kohandatud turbepäised, et kaitsta kasutajaid tavaliste veebipõhiste rünnakute eest [S3].