Háčik
Zabezpečenie nasadení Vercel vyžaduje aktívnu konfiguráciu bezpečnostných funkcií, ako je ochrana nasadenia a vlastné hlavičky HTTP [S2][S3]. Spoliehanie sa na predvolené nastavenia môže vystaviť prostredia a používateľov neoprávnenému prístupu alebo zraniteľnostiam na strane klienta [S2][S3].
Čo sa zmenilo
Vercel poskytuje špecifické mechanizmy pre ochranu nasadenia a vlastnú správu hlavičiek na zlepšenie stavu zabezpečenia hostovaných aplikácií [S2][S3]. Tieto funkcie umožňujú vývojárom obmedziť prístup k prostrediu a presadzovať zásady zabezpečenia na úrovni prehliadača [S2][S3].
Koho sa to týka
Organizácie používajúce Vercel sú ovplyvnené, ak nemajú nakonfigurovanú ochranu nasadenia pre svoje prostredia alebo nedefinovali vlastné hlavičky zabezpečenia pre svoje aplikácie [S2][S3]. Toto je obzvlášť dôležité pre tímy spravujúce citlivé údaje alebo súkromné nasadenia náhľadu [S2].
Ako problém funguje
Nasadenia Vercel môžu byť prístupné prostredníctvom vygenerovaných adries URL, pokiaľ nie je explicitne aktivovaná ochrana nasadenia na obmedzenie prístupu [S2]. Okrem toho bez vlastných konfigurácií hlavičiek môžu aplikáciám chýbať hlavičky dôležitého zabezpečenia, ako je napríklad politika zabezpečenia obsahu (CSP), ktoré sa predvolene nepoužívajú [S3].
Čo dostane útočník
Útočník by mohol potenciálne získať prístup k obmedzeným prostrediam ukážky, ak ochrana nasadenia nie je aktívna [S2]. Absencia bezpečnostných hlavičiek tiež zvyšuje riziko úspešných útokov na strane klienta, pretože prehliadaču chýbajú pokyny potrebné na blokovanie škodlivých aktivít [S3].
Ako to testuje FixVibe
FixVibe teraz mapuje túto tému výskumu na dve dodané pasívne kontroly. headers.vercel-deployment-security-backfill príznaky Vercel vygenerované adresy URL nasadenia *.vercel.app iba vtedy, keď bežná neoverená požiadavka vráti odpoveď 2xx/3xx od rovnakého vygenerovaného hostiteľa namiesto hesla ZXCVFIXVIBETOKEN, ASOuXVIBETIC, alebo hesla Výzva na ochranu pred nasadením [S2]. headers.security-headers oddelene kontroluje odozvu verejnej produkcie na CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy a clickjacking ZVIBETOKEN alebo clickjacking ZXVIBCV aplikácia [S3]. FixVibe nevynucuje adresy URL nasadenia hrubou silou ani sa nepokúša obísť chránené ukážky.
Čo opraviť
Povoľte ochranu nasadenia v riadiacom paneli Vercel, aby ste zabezpečili prostredie ukážky a produkcie [S2]. Okrem toho definujte a nasaďte vlastné bezpečnostné hlavičky v rámci konfigurácie projektu na ochranu používateľov pred bežnými webovými útokmi [S3].