A horog
A Vercel központi telepítések biztonságossá tételéhez olyan biztonsági szolgáltatások aktív konfigurálása szükséges, mint a telepítésvédelem és az egyéni HTTP-fejlécek [S2][S3]. Az alapértelmezett beállításokra támaszkodva a környezetek és a felhasználók jogosulatlan hozzáférésnek vagy ügyféloldali biztonsági réseknek lehetnek kitéve. [S2][S3].
Mi változott
A Vercel speciális mechanizmusokat biztosít a telepítésvédelemhez és az egyéni fejléckezeléshez, hogy javítsa a tárolt alkalmazások biztonsági helyzetét. [S2][S3]. Ezek a szolgáltatások lehetővé teszik a fejlesztők számára, hogy korlátozzák a környezethez való hozzáférést, és kényszerítsék ki a böngészőszintű biztonsági házirendeket [S2][S3].
Kit érint
A Vercel-t használó szervezeteket érinti, ha nem konfigurálták a telepítési védelmet a környezetükhöz, vagy nem határoztak meg egyéni biztonsági fejlécet alkalmazásaikhoz [S2][S3]. Ez különösen kritikus az érzékeny adatokat vagy privát előzetes telepítéseket kezelő csapatok számára. [S2].
Hogyan működik a probléma
A Vercel központi telepítések elérhetők generált URL-címeken keresztül, kivéve, ha a Telepítési védelem kifejezetten engedélyezve van a [S2] hozzáférés korlátozására. Ezenkívül egyéni fejléc-konfigurációk nélkül az alkalmazásokból hiányozhatnak az alapvető biztonsági fejlécek, például a Tartalombiztonsági házirend (CSP), amelyek alapértelmezés szerint nem kerülnek alkalmazásra [S3].
Mit kap egy támadó
A támadó esetleg hozzáférhet a korlátozott előnézeti környezetekhez, ha a telepítési védelem nem aktív. [S2]. A biztonsági fejlécek hiánya növeli a sikeres kliensoldali támadások kockázatát is, mivel a böngésző nem rendelkezik a rosszindulatú tevékenységek blokkolásához szükséges utasításokkal. [S3].
Hogyan teszteli a FixVibe
A FixVibe most leképezi ezt a kutatási témát két szállított passzív ellenőrzésre. A headers.vercel-deployment-security-backfill csak akkor jelöli meg a Vercel által generált *.vercel.app telepítési URL-eket, ha egy normál, nem hitelesített kérés 2xx/3xx választ ad vissza ugyanattól a generált gazdagéptől a Vercel-jelszó helyett ZXCOKVFIXZBET, vagy telepítésvédelmi kihívás [S2]. A headers.security-headers külön ellenőrzi a nyilvános éles válaszokat a CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy és a clicked through configured Vercel vagy a [S3] alkalmazás. A FixVibe nem kényszeríti ki a központi telepítési URL-eket, és nem próbálja meg megkerülni a védett előnézeteket.
Mit kell javítani
Engedélyezze a telepítésvédelmet a Vercel irányítópulton a [S2] előnézeti és éles környezetek biztonságosabbá tételéhez. Ezenkívül egyedi biztonsági fejléceket határozhat meg és telepíthet a projektkonfiguráción belül, hogy megvédje a felhasználókat a gyakori webalapú támadásoktól. [S3].