Krókurinn
Til að tryggja Vercel dreifingu þarf virka stillingu öryggiseiginleika eins og dreifingarvörn og sérsniðna HTTP hausa [S2][S3]. Að treysta á sjálfgefnar stillingar getur valdið því að umhverfi og notendur verði fyrir óviðkomandi aðgangi eða veikleikum viðskiptavinarhliðar [S2][S3].
Hvað breyttist
Vercel býður upp á sérstakar aðferðir fyrir dreifingarvernd og sérsniðna hausstjórnun til að auka öryggisstöðu hýstra forrita [S2][S3]. Þessir eiginleikar gera forriturum kleift að takmarka aðgang að umhverfi og framfylgja öryggisreglum á vafrastigi [S2][S3].
Hverjir verða fyrir áhrifum
Fyrirtæki sem nota Vercel verða fyrir áhrifum ef þau hafa ekki stillt uppsetningarvörn fyrir umhverfi sitt eða skilgreint sérsniðna öryggishausa fyrir forrit sín [S2][S3]. Þetta er sérstaklega mikilvægt fyrir teymi sem stjórna viðkvæmum gögnum eða einkaforskoðunaruppfærslu [S2].
Hvernig málið virkar
Vercel dreifing kann að vera aðgengileg í gegnum myndaðar vefslóðir nema dreifingarvernd sé sérstaklega virkjuð til að takmarka aðgang [S2]. Að auki, án sérsniðinna hausstillinga, gætu forrit skort nauðsynlega öryggishausa eins og Content Security Policy (CSP), sem ekki er sjálfgefið notað [S3].
Það sem árásarmaður fær
Árásarmaður gæti hugsanlega fengið aðgang að takmörkuðu forskoðunarumhverfi ef Deployment Protection er ekki virk [S2]. Skortur á öryggishausum eykur einnig hættuna á árangursríkum árásum viðskiptavinarhliðar, þar sem vafrinn skortir nauðsynlegar leiðbeiningar til að loka fyrir skaðlega starfsemi [S3].
Hvernig FixVibe prófar það
FixVibe kortleggur nú þetta rannsóknarefni við tvær sendar óvirkar athuganir. headers.vercel-deployment-security-backfill fánar Vercel-myndaðir *.vercel.app dreifingarvefslóðir aðeins þegar venjuleg óstaðfest beiðni skilar 2xx/3xx svari frá sama myndaða hýsil í stað ZXCVFIXVIBETOKENVIBETOKEN8 [S2]. headers.security-headers skoðar sérstaklega opinbera framleiðslusvörun fyrir CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy og clickjacking varnarforritið sem stillt er í gegnum ZBEVX eða CVFIXVIBETOKEN2ZXCV [S3]. FixVibe þvingar ekki vefslóðir fyrir dreifingu með grófum krafti eða reynir að komast framhjá vernduðum forskoðunum.
Hvað á að laga
Virkjaðu dreifingarvernd í Vercel mælaborðinu til að tryggja forskoðun og framleiðsluumhverfi [S2]. Ennfremur, skilgreina og dreifa sérsniðnum öryggishausum innan verkefnisstillingarinnar til að vernda notendur gegn algengum veftengdum árásum [S3].