Kanca
Vercel dağıtımlarının güvenliğini sağlamak, Dağıtım Koruması ve özel HTTP üstbilgileri [S2][S3] gibi güvenlik özelliklerinin aktif yapılandırmasını gerektirir. Varsayılan ayarlara güvenmek, ortamları ve kullanıcıları yetkisiz erişime veya istemci tarafı güvenlik açıklarına maruz bırakabilir [S2][S3].
Ne değişti
Vercel, barındırılan uygulamaların güvenlik duruşunu geliştirmek amacıyla Dağıtım Koruması ve özel başlık yönetimi için özel mekanizmalar sağlar [S2][S3]. Bu özellikler, geliştiricilerin ortam erişimini kısıtlamasına ve tarayıcı düzeyinde güvenlik politikalarını zorunlu kılmasına olanak tanır. [S2][S3].
Kimler etkileniyor
Vercel kullanan kuruluşlar, ortamları için Dağıtım Korumasını yapılandırmamışlarsa veya uygulamaları [S2][S3] için özel güvenlik başlıkları tanımlamamışlarsa etkilenir. Bu, özellikle hassas verileri veya özel önizleme dağıtımlarını yöneten ekipler için kritik öneme sahiptir [S2].
Sorun nasıl işliyor?
Dağıtım Koruması açıkça [S2] erişimini kısıtlamak üzere etkinleştirilmediği sürece, Vercel dağıtımlarına oluşturulan URL'ler aracılığıyla erişilebilir. Ayrıca, özel başlık yapılandırmaları olmadan uygulamalarda, varsayılan olarak [S3] uygulanmayan İçerik Güvenliği Politikası (CSP) gibi temel güvenlik başlıkları eksik olabilir.
Bir saldırganın elde edeceği şey
Dağıtım Koruması etkin değilse bir saldırgan potansiyel olarak kısıtlı önizleme ortamlarına erişebilir [S2]. Güvenlik başlıklarının olmaması, tarayıcının kötü amaçlı etkinlikleri engellemek için gerekli talimatlara sahip olmaması nedeniyle başarılı istemci tarafı saldırı riskini de artırır [S3].
FixVibe bunu nasıl test ediyor?
FixVibe artık bu araştırma konusunu gönderilen iki pasif kontrolle eşleştiriyor. headers.vercel-deployment-security-backfill, Vercel tarafından oluşturulan *.vercel.app dağıtım URL'lerini yalnızca normal, kimliği doğrulanmamış bir istek Vercel Kimlik Doğrulaması, SSO, parola veya Dağıtım Koruması sorgulaması yerine aynı oluşturulan ana bilgisayardan 2xx/3xx yanıtı döndürdüğünde işaretler [S2]. headers.security-headers, CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy ve Vercel veya uygulama aracılığıyla yapılandırılan tıklama hırsızlığı savunmalarına yönelik genel üretim yanıtını ayrı olarak denetler. [S3]. FixVibe, dağıtım URL'lerine kaba kuvvet uygulamaz veya korumalı önizlemeleri atlamaya çalışmaz.
Ne düzeltilmeli?
Önizleme ve üretim ortamlarının güvenliğini sağlamak için Vercel kontrol panelinde Dağıtım Korumasını etkinleştirin [S2]. Ayrıca, kullanıcıları yaygın web tabanlı saldırılara karşı korumak için proje yapılandırması içinde özel güvenlik başlıklarını tanımlayın ve dağıtın [S3].