قلاب
ایمن سازی استقرارهای Vercel نیاز به پیکربندی فعال ویژگی های امنیتی مانند Deployment Protection و هدرهای HTTP سفارشی [S2][S3] دارد. تکیه بر تنظیمات پیشفرض ممکن است محیطها و کاربران را در معرض دسترسی غیرمجاز یا آسیبپذیریهای سمت کلاینت [S2][S3] قرار دهد.
چه چیزی تغییر کرد
Vercel مکانیزم های خاصی را برای Deployment Protection و مدیریت هدر سفارشی برای ارتقای وضعیت امنیتی برنامه های میزبانی شده ارائه می دهد [S2][S3]. این ویژگیها به توسعهدهندگان امکان میدهد دسترسی به محیط را محدود کرده و خطمشیهای امنیتی در سطح مرورگر را اعمال کنند [S2][S3].
چه کسی تحت تاثیر قرار می گیرد
سازمانهایی که از Vercel استفاده میکنند، اگر Deployment Protection را برای محیطهای خود پیکربندی نکرده باشند یا سرصفحههای امنیتی سفارشی را برای برنامههای خود تعریف نکرده باشند، تحت تأثیر قرار میگیرند. این امر به ویژه برای تیم هایی که داده های حساس را مدیریت می کنند یا استقرار پیش نمایش خصوصی [S2] بسیار مهم است.
موضوع چگونه کار می کند
استقرارهای Vercel ممکن است از طریق URL های ایجاد شده قابل دسترسی باشند، مگر اینکه Deployment Protection صراحتاً برای محدود کردن دسترسی به [S2] فعال شده باشد. علاوه بر این، بدون پیکربندی هدر سفارشی، برنامهها ممکن است فاقد سرصفحههای امنیتی ضروری مانند خطمشی امنیت محتوا (CSP) باشند که بهطور پیشفرض [S3] اعمال نمیشوند.
چیزی که یک مهاجم بدست می آورد
اگر Deployment Protection فعال نباشد [S2]، مهاجم به طور بالقوه می تواند به محیط های پیش نمایش محدود دسترسی داشته باشد. فقدان هدرهای امنیتی نیز خطر حملات موفقیت آمیز سمت مشتری را افزایش می دهد، زیرا مرورگر دستورالعمل های لازم برای مسدود کردن فعالیت های مخرب [S3] را ندارد.
چگونه FixVibe آن را آزمایش می کند
FixVibe اکنون این موضوع تحقیقاتی را به دو بررسی غیرفعال ارسال شده ترسیم می کند. headers.vercel-deployment-security-backfill تنها زمانی نشانیهای وب استقرار *.vercel.app ایجاد شده توسط Vercel را علامتگذاری میکند که یک درخواست عادی احراز هویت نشده، بهجای یک میزبان ZXBCVOCVENZ، یک پاسخ 2xx/3xx از همان میزبان تولید شده، به جای ZXBCVSOKVENZ، SXCVFIXVIBETOKEN1ZXCV. رمز عبور یا چالش حفاظت از استقرار [S2]. headers.security-headers به طور جداگانه پاسخ تولید عمومی را برای CSP، HSTS، X-Content-Type-Options، Referrer-Policy، Permissions-Policy، و از طریق تنظیمات کلیک کردن بررسی می کند. Vercel یا برنامه [S3]. FixVibe نشانیهای اینترنتی استقرار را با اجبار اعمال نمیکند یا سعی نمیکند پیشنمایشهای محافظتشده را دور بزند.
چه چیزی را اصلاح کنیم
Deployment Protection را در داشبورد Vercel فعال کنید تا محیط های پیش نمایش و تولید را ایمن کنید [S2]. علاوه بر این، هدرهای امنیتی سفارشی را در پیکربندی پروژه برای محافظت از کاربران در برابر حملات متداول مبتنی بر وب [S3] تعریف و استقرار دهید.