Cârligul
Securizarea implementărilor Vercel necesită configurarea activă a caracteristicilor de securitate, cum ar fi Protecția la implementare și antetele HTTP personalizate [S2][S3]. Bazarea pe setările implicite poate lăsa mediile și utilizatorii expuși la acces neautorizat sau la vulnerabilități la nivelul clientului [S2][S3].
Ce s-a schimbat
Vercel oferă mecanisme specifice pentru Protecția implementării și gestionarea antetului personalizat pentru a îmbunătăți postura de securitate a aplicațiilor găzduite [S2][S3]. Aceste caracteristici le permit dezvoltatorilor să restricționeze accesul la mediu și să aplice politicile de securitate la nivel de browser [S2][S3].
Cine este afectat
Organizațiile care utilizează Vercel sunt afectate dacă nu au configurat Deployment Protection pentru mediile lor sau nu au definit antete de securitate personalizate pentru aplicațiile lor [S2][S3]. Acest lucru este deosebit de critic pentru echipele care gestionează date sensibile sau implementări de previzualizare privată [S2].
Cum funcționează problema
Implementările Vercel pot fi accesibile prin adrese URL generate, cu excepția cazului în care Protecția implementării este activată în mod explicit pentru a restricționa accesul [S2]. În plus, fără configurații de antet personalizate, aplicațiile pot să nu aibă anteturi de securitate esențiale, cum ar fi Politica de securitate a conținutului (CSP), care nu sunt aplicate implicit [S3].
Ce primește un atacator
Un atacator ar putea accesa medii de previzualizare restricționate dacă Protecția la implementare nu este activă [S2]. Absența antetelor de securitate crește, de asemenea, riscul de atacuri de succes pe partea clientului, deoarece browserului îi lipsesc instrucțiunile necesare pentru a bloca activitățile rău intenționate [S3].
Cum testează FixVibe pentru aceasta
FixVibe mapează acum acest subiect de cercetare cu două verificări pasive livrate. headers.vercel-deployment-security-backfill semnalează adresele URL de implementare *.vercel.app generate de *.vercel.app numai atunci când o solicitare normală neautentificată returnează un răspuns 2xx/3xx de la aceeași gazdă generată în loc de *.vercel.app, autentificare sau parolă Provocare de protecție la implementare [S2]. headers.security-headers inspectează separat răspunsul de producție public pentru CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy și apărările prin clickjacking HSTS aplicația [S3]. FixVibe nu folosește adrese URL de implementare în forță brută și nu încearcă să ocolească previzualizările protejate.
Ce trebuie remediat
Activați Protecția la implementare în tabloul de bord Vercel pentru a securiza mediile de previzualizare și producție [S2]. Mai mult, definiți și implementați anteturi de securitate personalizate în configurația proiectului pentru a proteja utilizatorii de atacurile comune bazate pe web [S3].