Hak
Zabezpieczanie wdrożeń Vercel wymaga aktywnej konfiguracji funkcji bezpieczeństwa, takich jak Deployment Protection i niestandardowe nagłówki HTTP [S2][S3]. Poleganie na ustawieniach domyślnych może narazić środowiska i użytkowników na nieautoryzowany dostęp lub luki w zabezpieczeniach po stronie klienta. [S2][S3].
Co się zmieniło
Vercel zapewnia specyficzne mechanizmy ochrony wdrażania i zarządzania niestandardowymi nagłówkami w celu zwiększenia poziomu bezpieczeństwa hostowanych aplikacji. [S2][S3]. Funkcje te umożliwiają programistom ograniczanie dostępu do środowiska i egzekwowanie zasad bezpieczeństwa na poziomie przeglądarki [S2][S3].
Kogo to dotyczy
Organizacje korzystające z Vercel mogą zostać dotknięte, jeśli nie skonfigurowały ochrony wdrażania dla swoich środowisk lub nie zdefiniowały niestandardowych nagłówków zabezpieczeń dla swoich aplikacji [S2][S3]. Jest to szczególnie istotne w przypadku zespołów zarządzających wrażliwymi danymi lub wdrożeniami prywatnej wersji zapoznawczej [S2].
Jak działa problem
Wdrożenia Vercel mogą być dostępne poprzez wygenerowane adresy URL, chyba że ochrona wdrażania jest jawnie włączona w celu ograniczenia dostępu [S2]. Ponadto bez niestandardowych konfiguracji nagłówków aplikacje mogą nie mieć podstawowych nagłówków zabezpieczeń, takich jak Polityka bezpieczeństwa treści (CSP), które nie są stosowane domyślnie [S3].
Co dostaje atakujący
Osoba atakująca może potencjalnie uzyskać dostęp do środowisk z ograniczoną wersją zapoznawczą, jeśli ochrona wdrażania nie jest aktywna. [S2]. Brak nagłówków bezpieczeństwa zwiększa również ryzyko udanych ataków po stronie klienta, ponieważ w przeglądarce brakuje instrukcji niezbędnych do blokowania złośliwych działań [S3].
Jak FixVibe to testuje
FixVibe przypisuje teraz ten temat badawczy do dwóch dostarczonych czeków pasywnych. headers.vercel-deployment-security-backfill flaguje wygenerowane przez Vercel adresy URL wdrożenia *.vercel.app tylko wtedy, gdy normalne nieuwierzytelnione żądanie zwraca odpowiedź 2xx/3xx z tego samego wygenerowanego hosta zamiast Vercel wyzwanie dotyczące uwierzytelnienia, logowania jednokrotnego, hasła lub ochrony wdrożenia [S2]. headers.security-headers osobno sprawdza odpowiedź produkcji publicznej dla CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy i zabezpieczeń przed kliknięciem skonfigurowanych za pomocą Vercel lub aplikacji [S3]. FixVibe nie wykorzystuje brutalnej siły do adresów URL wdrożeń ani nie próbuje ominąć chronionych podglądów.
Co naprawić
Włącz ochronę wdrażania w panelu kontrolnym Vercel, aby zabezpieczyć środowiska podglądowe i produkcyjne [S2]. Ponadto zdefiniuj i wdróż niestandardowe nagłówki zabezpieczeń w konfiguracji projektu, aby chronić użytkowników przed typowymi atakami internetowymi [S3].