Kablys
Norint apsaugoti Vercel diegimą, reikia aktyviai konfigūruoti saugos funkcijas, pvz., Diegimo apsaugą ir pasirinktines HTTP antraštes [S2][S3]. Pasikliaujant numatytaisiais nustatymais, aplinka ir vartotojai gali būti paveikti neteisėtos prieigos arba kliento pažeidžiamumo [S2][S3].
Kas pasikeitė
Vercel pateikia konkrečius diegimo apsaugos ir tinkintų antraštės valdymo mechanizmus, kad pagerintų priglobtų programų [S2][S3] saugos padėtį. Šios funkcijos leidžia kūrėjams apriboti prieigą prie aplinkos ir vykdyti naršyklės lygio saugumo politiką [S2][S3].
Kas yra paveiktas
Organizacijos, naudojančios Vercel, turi įtakos, jei jos nesukonfigūravo savo aplinkos diegimo apsaugos arba nenustatė tinkintų saugos antraščių savo programoms [S2][S3]. Tai ypač svarbu komandoms, tvarkančioms slaptus duomenis arba privačias peržiūros diegimus [S2].
Kaip veikia problema
Vercel diegimas gali būti pasiekiamas naudojant sugeneruotus URL, nebent įdiegimo apsauga būtų aiškiai įjungta, kad būtų apribota prieiga [S2]. Be to, be tinkintų antraščių konfigūracijų, programose gali trūkti esminių saugos antraščių, pvz., turinio saugos politikos (CSP), kurios pagal numatytuosius nustatymus netaikomos [S3].
Ką gauna užpuolikas
Užpuolikas gali pasiekti ribotą peržiūros aplinką, jei diegimo apsauga nėra aktyvi [S2]. Saugos antraščių nebuvimas taip pat padidina sėkmingų kliento atakų riziką, nes naršyklėje trūksta instrukcijų, reikalingų užblokuoti kenkėjišką veiklą [S3].
Kaip FixVibe tai tikrina
FixVibe dabar susieja šią tyrimo temą su dviem išsiųstais pasyviaisiais patikrinimais. headers.vercel-deployment-security-backfill žymi Vercel sugeneruotus *.vercel.app diegimo URL tik tada, kai įprasta neautentifikuota užklausa pateikia 2xx/3xx atsakymą iš tos pačios sugeneruotos prieglobos, o ne ZXCOKVSOuthenticC, Slaptažodžio arba Diegimo apsaugos iššūkis [S2]. headers.security-headers atskirai tikrina viešą atsaką į CSP, HSTS, X-Content-Type-Options, Referrer-Plicy, Permissions-Policy ir Configuredja. Vercel arba programa [S3]. FixVibe žiauriai nenaudoja diegimo URL ir nebando apeiti apsaugotų peržiūrų.
Ką taisyti
Įgalinkite diegimo apsaugą prietaisų skydelyje Vercel, kad apsaugotumėte peržiūros ir gamybos aplinkas [S2]. Be to, projekto konfigūracijoje nustatykite ir įdiekite pasirinktines saugos antraštes, kad apsaugotumėte vartotojus nuo įprastų žiniatinklio atakų [S3].