Կեռիկը
Vercel տեղակայումների անվտանգությունը պահանջում է անվտանգության առանձնահատկությունների ակտիվ կազմաձևում, ինչպիսիք են տեղակայման պաշտպանությունը և հատուկ HTTP վերնագրերը [S2][S3]: Լռելյայն կարգավորումների վրա հիմնվելը կարող է միջավայրերը և օգտատերերին ենթարկել չարտոնված մուտքի կամ հաճախորդի կողմից խոցելիության [S2][S3]:
Ինչ փոխվեց
Vercel-ն տրամադրում է հատուկ մեխանիզմներ տեղակայման պաշտպանության և հատուկ վերնագրերի կառավարման համար՝ հյուրընկալված հավելվածների անվտանգության դիրքը բարձրացնելու համար [S2][S3]: Այս հատկանիշները ծրագրավորողներին հնարավորություն են տալիս սահմանափակել շրջակա միջավայրի հասանելիությունը և կիրառել դիտարկիչի մակարդակի անվտանգության քաղաքականություն [S2][S3]:
Ով է տուժում
Vercel օգտագործող կազմակերպությունները տուժում են, եթե նրանք չեն կարգավորել տեղակայման պաշտպանությունը իրենց միջավայրերի համար կամ չեն սահմանել հատուկ անվտանգության վերնագրեր իրենց հավելվածների համար [S2][S3]: Սա հատկապես կարևոր է այն թիմերի համար, որոնք կառավարում են զգայուն տվյալներ կամ մասնավոր նախադիտման տեղակայումներ [S2]:
Ինչպես է խնդիրը աշխատում
Vercel տեղակայումները կարող են հասանելի լինել ստեղծված URL-ների միջոցով, եթե տեղակայման պաշտպանությունը բացահայտորեն միացված չէ [S2] մուտքը սահմանափակելու համար: Բացի այդ, առանց հատուկ վերնագրերի կոնֆիգուրացիաների, հավելվածները կարող են զուրկ լինել անվտանգության հիմնական վերնագրերից, ինչպիսիք են Բովանդակության անվտանգության քաղաքականությունը (CSP), որոնք լռելյայն չեն կիրառվում [S3]:
Ինչ է ստանում հարձակվողը
Հարձակվողը կարող է մուտք գործել սահմանափակ նախադիտման միջավայրեր, եթե տեղակայման պաշտպանությունը ակտիվ չէ [S2]: Անվտանգության վերնագրերի բացակայությունը նաև մեծացնում է հաճախորդի կողմից հաջող հարձակումների ռիսկը, քանի որ զննարկիչում զուրկ են [S3] վնասակար գործողությունները արգելափակելու համար անհրաժեշտ հրահանգները:
Ինչպես է FixVibe-ն փորձարկում դրա համար
FixVibe-ն այժմ քարտեզագրում է այս հետազոտական թեման երկու առաքված պասիվ ստուգումների համար: headers.vercel-deployment-security-backfill նշում է Vercel-ի կողմից ստեղծված *.vercel.app տեղակայման URL-ները միայն այն դեպքում, երբ սովորական չհաստատված հարցումը վերադարձնում է 2xx/3xx պատասխան նույն գեներացված հոսթից՝ ZXXVI,SOKVENF8, SXCVSOKVENZ-ի փոխարեն: գաղտնաբառ կամ տեղակայման պաշտպանության մարտահրավեր [S2]: headers.security-headers-ն առանձին ստուգում է հանրային արտադրության պատասխանը CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, և կարգավորվում է սեղմման միջոցով: Vercel կամ [S3] հավելվածը: FixVibe-ն կոպիտ կերպով չի պարտադրում տեղակայման URL-ները և չի փորձում շրջանցել պաշտպանված նախադիտումները:
Ինչ ուղղել
Միացրեք տեղակայման պաշտպանությունը Vercel վահանակում՝ [S2] նախադիտման և արտադրության միջավայրերը ապահովելու համար: Ավելին, սահմանեք և տեղադրեք հատուկ անվտանգության վերնագրեր ծրագրի կազմաձևման շրջանակներում՝ պաշտպանելու օգտվողներին վեբ վրա հիմնված սովորական հարձակումներից [S3]: