Ілмек
Vercel орналастыруларын қорғау Орналастырудан қорғау және реттелетін HTTP тақырыптары [S2][S3] сияқты қауіпсіздік мүмкіндіктерінің белсенді конфигурациясын талап етеді. Әдепкі параметрлерге сену орталар мен пайдаланушыларды рұқсатсыз кіруге немесе клиенттік осалдықтарға ұшырауы мүмкін [S2][S3].
Не өзгерді
Vercel Vercel [S2][S3] орналастырылған қолданбалардың қауіпсіздік жағдайын жақсарту үшін Орналастыруды қорғау және реттелетін тақырыпты басқарудың арнайы механизмдерін қамтамасыз етеді. Бұл мүмкіндіктер әзірлеушілерге ортаға кіруді шектеуге және [S2][S3] браузер деңгейіндегі қауіпсіздік саясаттарын орындауға мүмкіндік береді.
Кім зардап шегеді
Vercel пайдаланатын ұйымдарға, егер олар өз орталары үшін Орналастырудан қорғауды конфигурацияламаса немесе [S2][S3] қолданбалары үшін пайдаланушы қауіпсіздік тақырыптарын анықтамаса, әсер етеді. Бұл әсіресе құпия деректерді басқаратын немесе [S2] жеке алдын ала қарау орналастыруларын басқаратын топтар үшін өте маңызды.
Мәселе қалай жұмыс істейді
Vercel орналастыруларына [S2] қатынасын шектеу үшін Қолдану қорғауы анық қосылмаса, жасалған URL мекенжайлары арқылы қол жеткізуге болады. Сонымен қатар, реттелетін тақырып конфигурациялары болмаса, қолданбаларда әдепкі бойынша [S3] қолданылмайтын Content Security Policy (CSP) сияқты маңызды қауіпсіздік тақырыптары болмауы мүмкін.
Шабуылдаушы не алады
Қолданудан қорғау белсенді емес [S2] болса, шабуылдаушы шектеулі алдын ала қарау орталарына қол жеткізуі мүмкін. Қауіпсіздік тақырыптарының болмауы клиенттік шабуылдардың сәтті болу қаупін де арттырады, өйткені браузерде [S3] зиянды әрекеттерін блоктауға қажетті нұсқаулар жоқ.
FixVibe оны қалай тексереді
FixVibe енді осы зерттеу тақырыбын екі жіберілген пассивті тексеруге салыстырады. headers.vercel-deployment-security-backfill жалаушалары Vercel арқылы жасалған *.vercel.app орналастыру URL мекенжайлары тек кәдімгі аутентификацияланбаған сұрау ZXCVFIX, Authentication SXCVCV8 орнына бірдей жасалған хосттан 2xx/3xx жауабын қайтарғанда ғана құпия сөз немесе Орналастыруды қорғау мәселесі [S2]. headers.security-headers CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Рұқсаттар-Саясат және конфигурацияланған қорғаныс үшін жалпыға ортақ өндіріс жауабын бөлек тексереді. Vercel немесе [S3] қолданбасы. FixVibe қолдану URL мекенжайларын дөрекі түрде мәжбүрлемейді немесе қорғалған алдын ала қарауларды айналып өтуге әрекет жасамайды.
Нені түзету керек
[S2] алдын ала қарау және өндіріс орталарын қорғау үшін Vercel бақылау тақтасында орналастырудан қорғауды қосыңыз. Сонымен қатар, пайдаланушыларды [S3] жалпы веб негізіндегі шабуылдардан қорғау үшін жоба конфигурациясында пайдаланушы қауіпсіздік тақырыптарын анықтаңыз және орналастырыңыз.