Куката
Обезбедувањето на распоредувањата на Vercel бара активна конфигурација на безбедносните карактеристики како што се заштита при распоредување и прилагодени HTTP заглавија [S2][S3]. Потпирањето на стандардните поставки може да ги остави околините и корисниците изложени на неовластен пристап или ранливости од клиентската страна [S2][S3].
Што се смени
Vercel обезбедува специфични механизми за заштита од распоредување и приспособено управување со заглавијата за подобрување на безбедносната положба на хостираните апликации [S2][S3]. Овие карактеристики им овозможуваат на програмерите да го ограничат пристапот до околината и да спроведуваат безбедносни политики на ниво на прелистувач [S2][S3].
Кој е засегнат
Организациите кои користат Vercel се погодени ако немаат конфигурирано Deployment Protection за нивните околини или дефинирани сопствени безбедносни заглавија за нивните апликации [S2][S3]. Ова е особено критично за тимовите кои управуваат со чувствителни податоци или приватен преглед на распоредувањата [S2].
Како функционира проблемот
Распоредувањата на Vercel може да бидат достапни преку генерирани URL-адреси, освен ако заштитата за распоредување не е експлицитно овозможена за ограничување на пристапот [S2]. Дополнително, без приспособени конфигурации за заглавија, на апликациите може да им недостасуваат основни безбедносни заглавија како Политика за безбедност на содржината (CSP), кои стандардно не се применуваат [S3].
Што добива напаѓачот
Напаѓачот би можел потенцијално да пристапи до ограничените средини за преглед ако Заштитата за распоредување не е активна [S2]. Отсуството на безбедносни заглавија, исто така, го зголемува ризикот од успешни напади од страна на клиентот, бидејќи на прелистувачот му недостасуваат инструкции неопходни за блокирање на малициозни активности [S3].
Како FixVibe тестира за него
FixVibe сега ја мапира оваа тема на истражување на две испорачани пасивни проверки. headers.vercel-deployment-security-backfill ги означува Vercel генерираните *.vercel.app URL-адреси за распоредување само кога нормално неавтентицирано барање враќа 2xx/3xx одговор од истиот генериран домаќин наместо ZXXVFIXVIBETOKEN1ZXCV. лозинка или предизвик за заштита при распоредување [S2]. headers.security-headers одделно го проверува одговорот на јавното производство за CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, и конфигурирање Vercel или апликацијата [S3]. FixVibe не ги присилува URL-адресите за распоредување со брутална сила и не се обидува да ги заобиколи заштитените прегледи.
Што да се поправи
Овозможете заштита од распоредување во контролната табла Vercel за да обезбедите средини за преглед и производство [S2]. Понатаму, дефинирајте и распоредете прилагодени безбедносни заглавија во рамките на конфигурацијата на проектот за да ги заштитите корисниците од вообичаени веб-базирани напади [S3].