Koukku
Vercel-asennusten suojaaminen edellyttää suojausominaisuuksien, kuten käyttöönottosuojauksen ja mukautettujen HTTP-otsikoiden [S2][S3], aktiivista määritystä. Oletusasetuksiin luottaminen saattaa altistaa ympäristöt ja käyttäjät luvattomalle käytölle tai asiakaspuolen haavoittuvuuksille [S2][S3].
Mikä muuttui
Vercel tarjoaa erityisiä mekanismeja käyttöönoton suojaukseen ja mukautettuun otsikkohallintaan, jotka parantavat isännöityjen sovellusten [S2][S3] suojausasentoa. Näiden ominaisuuksien avulla kehittäjät voivat rajoittaa pääsyä ympäristöön ja pakottaa selaintason suojauskäytäntöjä [S2][S3].
Ketä se koskee
Tämä vaikuttaa organisaatioihin, jotka käyttävät Vercel:tä, jos ne eivät ole määrittäneet käyttöönoton suojausta ympäristöilleen tai määrittäneet mukautettuja suojausotsikoita sovelluksilleen [S2][S3]. Tämä on erityisen tärkeää tiimeille, jotka hallitsevat arkaluonteisia tietoja tai yksityisiä esikatselukäyttöönottoa [S2].
Kuinka ongelma toimii
Vercel-asennukset voivat olla käytettävissä luotujen URL-osoitteiden kautta, ellei käyttöönottosuojaus ole erikseen otettu käyttöön rajoittamaan pääsyä [S2]. Lisäksi ilman mukautettuja otsikkomäärityksiä sovelluksista saattaa puuttua tärkeitä suojausotsikoita, kuten sisällön suojauskäytäntö (CSP), joita ei oletusarvoisesti sovelleta [S3].
Mitä hyökkääjä saa
Hyökkääjä voi mahdollisesti käyttää rajoitettuja esikatseluympäristöjä, jos käyttöönottosuojaus ei ole aktiivinen. [S2]. Suojausotsikoiden puuttuminen lisää myös onnistuneiden asiakaspuolen hyökkäysten riskiä, koska selaimelta puuttuvat tarvittavat ohjeet haitallisten toimintojen estämiseen [S3].
Kuinka FixVibe testaa sitä
FixVibe yhdistää nyt tämän tutkimusaiheen kahteen lähetettyyn passiiviseen tarkastukseen. headers.vercel-deployment-security-backfill merkitsee Vercel:n luomia *.vercel.app-käyttöönotto-URL-osoitteita vain, kun normaali todentamaton pyyntö palauttaa 2xx/3xx-vastauksen samalta luodulta isännältä Vercel-salasanan sijaan tai käyttöönottosuojaushaaste [S2]. headers.security-headers tarkastaa erikseen julkisen tuotantovasteen CSP, HSTS, X-Content-Type-Options, Viittauskäytännön, Luvat-Käytännön ja Clickja-määrityksen kautta. Vercel tai sovellus [S3]. FixVibe ei pakota käyttöönoton URL-osoitteita raa'alla voimalla tai yritä ohittaa suojattuja esikatseluja.
Mitä korjata
Ota käyttöönoton suojaus käyttöön Vercel-koontinäytössä suojataksesi esikatselu- ja tuotantoympäristöt [S2]. Lisäksi voit määrittää ja ottaa käyttöön mukautettuja suojausotsikoita projektin kokoonpanossa suojataksesi käyttäjiä yleisiltä verkkopohjaisilta hyökkäyksiltä [S3].