ตะขอ
การรักษาความปลอดภัยการปรับใช้ Vercel จำเป็นต้องมีการกำหนดค่าคุณลักษณะความปลอดภัยที่ใช้งานอยู่ เช่น Deployment Protection และส่วนหัว HTTP แบบกำหนดเอง ZXCVFIXVIBTOKEN0ZXCVZXCVFIXVIBTOKEN1ZXCV การใช้การตั้งค่าเริ่มต้นอาจทำให้สภาพแวดล้อมและผู้ใช้ถูกเข้าถึงโดยไม่ได้รับอนุญาตหรือช่องโหว่ฝั่งไคลเอ็นต์ [S2][S3]
สิ่งที่เปลี่ยนแปลง
Vercel จัดเตรียมกลไกเฉพาะสำหรับ Deployment Protection และการจัดการส่วนหัวแบบกำหนดเอง เพื่อปรับปรุงมาตรการรักษาความปลอดภัยของแอปพลิเคชันที่โฮสต์ ZXCVFIXVIBTOKEN0ZXCVZXCVFIXVIBTOKEN1ZXCV คุณสมบัติเหล่านี้ช่วยให้นักพัฒนาสามารถจำกัดการเข้าถึงสภาพแวดล้อมและบังคับใช้นโยบายความปลอดภัยระดับเบราว์เซอร์ [S2][S3]
ใครได้รับผลกระทบ
องค์กรที่ใช้ Vercel จะได้รับผลกระทบหากไม่ได้กำหนดค่า Deployment Protection สำหรับสภาพแวดล้อมหรือกำหนดส่วนหัวความปลอดภัยแบบกำหนดเองสำหรับแอปพลิเคชันของตน ZXCVFIXVIBTOKEN0ZXCV[S3] นี่เป็นสิ่งสำคัญอย่างยิ่งสำหรับทีมที่จัดการข้อมูลที่ละเอียดอ่อนหรือการปรับใช้ตัวอย่างส่วนตัว [S2]
ปัญหาทำงานอย่างไร
การปรับใช้ Vercel อาจสามารถเข้าถึงได้ผ่าน URL ที่สร้างขึ้น เว้นแต่ว่าการป้องกันการปรับใช้จะถูกเปิดใช้งานอย่างชัดเจนเพื่อจำกัดการเข้าถึง ZXCVFIXVIBTOKEN0ZXCV นอกจากนี้ หากไม่มีการกำหนดค่าส่วนหัวแบบกำหนดเอง แอปพลิเคชันอาจขาดส่วนหัวการรักษาความปลอดภัยที่สำคัญ เช่น นโยบายความปลอดภัยของเนื้อหา (CSP) ซึ่งไม่ได้ใช้โดยค่าเริ่มต้น [S3]
สิ่งที่ผู้โจมตีได้รับ
ผู้โจมตีอาจเข้าถึงสภาพแวดล้อมการแสดงตัวอย่างแบบจำกัดได้ ถ้า Deployment Protection ไม่ได้ใช้งาน [S2] การไม่มีส่วนหัวด้านความปลอดภัยยังเพิ่มความเสี่ยงต่อการโจมตีฝั่งไคลเอ็นต์ได้สำเร็จ เนื่องจากเบราว์เซอร์ขาดคำแนะนำที่จำเป็นในการบล็อกกิจกรรมที่เป็นอันตราย [S3]
วิธีทดสอบ FixVibe
ขณะนี้ FixVibe จับคู่หัวข้อการวิจัยนี้กับเช็คที่จัดส่งแล้วสองรายการ headers.vercel-deployment-security-backfill ตั้งค่าสถานะ URL การปรับใช้ Vercel ที่สร้างโดย *.vercel.app เฉพาะเมื่อคำขอที่ไม่ได้รับการรับรองความถูกต้องตามปกติส่งคืนการตอบสนอง 2xx/3xx จากโฮสต์ที่สร้างขึ้นเดียวกัน แทนที่จะเป็นความท้าทายในการรับรองความถูกต้อง Vercel, SSO, รหัสผ่าน หรือการป้องกันการปรับใช้ [S2]. headers.security-headers แยกตรวจสอบการตอบสนองการผลิตสาธารณะสำหรับ CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy และการป้องกันการคลิกแจ็คที่กำหนดค่าผ่าน Vercel หรือแอปพลิเคชัน [S3]. FixVibe ไม่มี URL การปรับใช้แบบ brute-force หรือพยายามเลี่ยงผ่านการแสดงตัวอย่างที่ได้รับการป้องกัน
จะแก้ไขอะไร.
เปิดใช้งานการป้องกันการปรับใช้ในแดชบอร์ด Vercel เพื่อรักษาความปลอดภัยสภาพแวดล้อมการแสดงตัวอย่างและการใช้งานจริง [S2] นอกจากนี้ กำหนดและปรับใช้ส่วนหัวการรักษาความปลอดภัยแบบกำหนดเองภายในการกำหนดค่าโปรเจ็กต์เพื่อปกป้องผู้ใช้จากการโจมตีบนเว็บทั่วไป [S3]