Крючок
Для обеспечения безопасности развертываний Vercel требуется активная настройка функций безопасности, таких как защита развертывания и пользовательские заголовки HTTP [S2][S3]. Использование настроек по умолчанию может привести к тому, что среды и пользователи будут подвержены несанкционированному доступу или уязвимостям на стороне клиента. [S2][S3].
Что изменилось
Vercel предоставляет специальные механизмы защиты развертывания и управления настраиваемыми заголовками для повышения уровня безопасности размещенных приложений. [S2][S3]. Эти функции позволяют разработчикам ограничивать доступ к среде и применять политики безопасности на уровне браузера [S2][S3].
Кто пострадал
Это затрагивает организации, использующие Vercel, если они не настроили защиту развертывания для своих сред или не определили настраиваемые заголовки безопасности для своих приложений [S2][S3]. Это особенно важно для команд, управляющих конфиденциальными данными или развертываний частной предварительной версии [S2].
Как работает проблема
Развертывания Vercel могут быть доступны через сгенерированные URL-адреса, если защита развертывания явно не включена для ограничения доступа [S2]. Кроме того, без пользовательских конфигураций заголовков в приложениях могут отсутствовать важные заголовки безопасности, такие как Политика безопасности контента (CSP), которые по умолчанию не применяются [S3].
Что получает злоумышленник
Злоумышленник потенциально может получить доступ к средам ограниченной предварительной версии, если защита развертывания не активна [S2]. Отсутствие заголовков безопасности также увеличивает риск успешных атак на стороне клиента, поскольку в браузере отсутствуют инструкции, необходимые для блокировки вредоносных действий [S3].
Как FixVibe проверяет это
FixVibe теперь сопоставляет эту тему исследования с двумя отправленными пассивными проверками. Флаги headers.vercel-deployment-security-backfill Vercel URL-адреса развертывания *.vercel.app, сгенерированные *.vercel.app, только в том случае, если обычный неаутентифицированный запрос возвращает ответ 2xx/3xx от того же сгенерированного хоста вместо Vercel Аутентификация, SSO, пароль или развертывание Задача защиты [S2]. headers.security-headers отдельно проверяет общедоступный производственный ответ для CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и защиты от кликджекинга, настроенной с помощью Vercel или приложения. [S3]. FixVibe не перебирает URL-адреса развертывания и не пытается обойти защищенные предварительные просмотры.
Что исправить
Включите защиту развертывания на панели управления Vercel, чтобы защитить среды предварительной версии и рабочей среды [S2]. Кроме того, определите и разверните настраиваемые заголовки безопасности в конфигурации проекта для защиты пользователей от распространенных веб-атак [S3].