הקרס
אבטחת פריסות Vercel דורשת תצורה אקטיבית של תכונות אבטחה כגון Deployment Protection וכותרות HTTP מותאמות אישית [S2][S3]. הסתמכות על הגדרות ברירת המחדל עלולה להשאיר סביבות ומשתמשים חשופים לגישה לא מורשית או לפגיעויות בצד הלקוח [S2][S3].
מה השתנה
Vercel מספק מנגנונים ספציפיים להגנת פריסה וניהול כותרות מותאם אישית כדי לשפר את עמדת האבטחה של יישומים מתארחים [S2][S3]. תכונות אלו מאפשרות למפתחים להגביל את הגישה לסביבה ולאכוף מדיניות אבטחה ברמת הדפדפן [S2][S3].
מי מושפע
ארגונים המשתמשים ב-Vercel מושפעים אם הם לא הגדירו Deployment Protection עבור הסביבות שלהם או הגדירו כותרות אבטחה מותאמות אישית עבור האפליקציות שלהם [S2][S3]. זה קריטי במיוחד עבור צוותים המנהלים נתונים רגישים או פריסות תצוגה מקדימה פרטיות [S2].
איך הבעיה עובדת
ניתן לגשת לפריסות Vercel באמצעות כתובות URL שנוצרו, אלא אם הגנת הפריסה מופעלת במפורש כדי להגביל את הגישה [S2]. בנוסף, ללא תצורות כותרות מותאמות אישית, יישומים עשויים להיעדר כותרות אבטחה חיוניות כמו מדיניות אבטחת תוכן (CSP), שאינן מיושמות כברירת מחדל [S3].
מה שתוקף מקבל
תוקף עלול לגשת לסביבות תצוגה מקדימה מוגבלות אם הגנת פריסה אינה פעילה [S2]. היעדר כותרות אבטחה גם מגביר את הסיכון להתקפות מוצלחות בצד הלקוח, מכיוון שלדפדפן אין את ההוראות הדרושות לחסימת פעילויות זדוניות [S3].
כיצד FixVibe בודק את זה
FixVibe ממפה כעת את נושא המחקר הזה לשני צ'קים פסיביים שנשלחו. דגלים של headers.vercel-deployment-security-backfill כתובות URL של פריסה של *.vercel.app שנוצרו על ידי Vercel רק כאשר בקשה לא מאומתת רגילה מחזירה תגובה 2xx/3xx מאותו מארח שנוצר במקום ZXCVFIXVIBETOKENVIBETOKEN8ZXCV A Challenge, SSOuthentication, Password Deployment, Password [S2]. headers.security-headers בוחן בנפרד את תגובת הייצור הציבורית עבור CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, ו-clickjacking את היישום ההגנות או 9ZCVIXVIXBEVX. [S3]. FixVibe אינו מפעיל כתובות אתרים לפריסה בכוח או מנסה לעקוף תצוגות מקדימות מוגנות.
מה לתקן
אפשר הגנת פריסה בלוח המחוונים Vercel כדי לאבטח סביבות תצוגה מקדימה והפקה [S2]. יתר על כן, הגדר ופרוס כותרות אבטחה מותאמות אישית בתוך תצורת הפרויקט כדי להגן על משתמשים מפני התקפות נפוצות מבוססות אינטרנט [S3].