Āķis
Lai nodrošinātu Vercel izvietošanu, ir nepieciešama aktīva drošības līdzekļu konfigurācija, piemēram, izvietošanas aizsardzība un pielāgotas HTTP galvenes [S2][S3]. Paļaujoties uz noklusējuma iestatījumiem, vide un lietotāji var tikt pakļauti nesankcionētai piekļuvei vai klienta puses ievainojamībai [S2][S3].
Kas mainījās
Vercel nodrošina īpašus mehānismus izvietošanas aizsardzībai un pielāgotu galvenes pārvaldībai, lai uzlabotu mitināto lietojumprogrammu drošības stāvokli [S2][S3]. Šīs funkcijas ļauj izstrādātājiem ierobežot piekļuvi videi un ieviest pārlūkprogrammas līmeņa drošības politikas [S2][S3].
Kas tiek ietekmēts
Organizācijas, kas izmanto Vercel, tiek ietekmētas, ja tās nav konfigurējušas izvietošanas aizsardzību savām vidēm vai definējušas pielāgotas drošības galvenes savām lietojumprogrammām [S2][S3]. Tas ir īpaši svarīgi komandām, kas pārvalda sensitīvus datus vai privātas priekšskatījuma izvietošanas [S2].
Kā problēma darbojas
Vercel izvietojumiem var piekļūt, izmantojot ģenerētus vietrāžus URL, ja vien izvietošanas aizsardzība nav īpaši iespējota, lai ierobežotu piekļuvi [S2]. Turklāt, ja nav pielāgotas galvenes konfigurācijas, lietojumprogrammām var nebūt būtisku drošības galveņu, piemēram, satura drošības politikas (CSP), kas pēc noklusējuma netiek lietotas [S3].
Ko iegūst uzbrucējs
Ja izvietošanas aizsardzība nav aktīva [S2], uzbrucējs var piekļūt ierobežotām priekšskatījuma vidēm. Drošības virsrakstu trūkums palielina arī veiksmīgu klienta puses uzbrukumu risku, jo pārlūkprogrammai trūkst norādījumu, kas nepieciešami ļaunprātīgu darbību bloķēšanai [S3].
Kā FixVibe to pārbauda
FixVibe tagad kartē šo pētījumu tēmu ar divām nosūtītajām pasīvajām pārbaudēm. headers.vercel-deployment-security-backfill atzīmē Vercel ģenerētus *.vercel.app izvietošanas vietrāžus URL tikai tad, ja parasts neautentificēts pieprasījums atgriež 2xx/3xx atbildi no tā paša ģenerētā resursdatora, nevis Vercel, paroli vai Izvēršanas aizsardzības izaicinājums [S2]. headers.security-headers atsevišķi pārbauda publiskās produkcijas atbildi CSP, HSTS, X-satura veida opcijām, novirzītāja politikai, atļauju politikai un konfigurētajai aizsardzībai. Vercel vai aplikācija [S3]. FixVibe nepiespiež izvietošanas vietrāžus URL rupji piespiedu kārtā un nemēģina apiet aizsargātos priekšskatījumus.
Ko labot
Iespējojiet izvietošanas aizsardzību informācijas panelī Vercel, lai nodrošinātu priekšskatījuma un ražošanas vidi [S2]. Turklāt projekta konfigurācijā definējiet un izvietojiet pielāgotas drošības galvenes, lai aizsargātu lietotājus no izplatītiem tīmekļa uzbrukumiem [S3].