Гачок
Для захисту розгортань Vercel потрібна активна конфігурація функцій безпеки, таких як захист розгортання та спеціальні заголовки HTTP [S2][S3]. Використання налаштувань за замовчуванням може призвести до неавторизованого доступу до середовища та користувачів або до вразливостей на стороні клієнта [S2][S3].
Що змінилося
Vercel надає спеціальні механізми для захисту розгортання та користувацького керування заголовками для підвищення рівня безпеки розміщених програм [S2][S3]. Ці функції дозволяють розробникам обмежувати доступ до середовища та застосовувати політики безпеки на рівні браузера [S2][S3].
Кого це стосується
Організації, які використовують Vercel, постраждають, якщо вони не налаштували Deployment Protection для своїх середовищ або не визначили спеціальні заголовки безпеки для своїх програм [S2][S3]. Це особливо важливо для команд, які керують конфіденційними даними або приватними розгортаннями попереднього перегляду [S2].
Як проблема працює
Розгортання Vercel можуть бути доступні через згенеровані URL-адреси, якщо захист розгортання не ввімкнено явно для обмеження доступу [S2]. Крім того, без користувацьких конфігурацій заголовків програми можуть не мати важливих заголовків безпеки, таких як Content Security Policy (CSP), які не застосовуються за замовчуванням [S3].
Що отримує зловмисник
Зловмисник потенційно може отримати доступ до обмежених середовищ попереднього перегляду, якщо захист розгортання не активний [S2]. Відсутність заголовків безпеки також підвищує ризик успішних атак на стороні клієнта, оскільки в браузері відсутні інструкції, необхідні для блокування шкідливих дій [S3].
Як FixVibe перевіряє це
FixVibe тепер зіставляє цю тему дослідження з двома надісланими пасивними перевірками. headers.vercel-deployment-security-backfill позначає URL-адреси розгортання *.vercel.app, створені Vercel, лише коли звичайний неавтентифікований запит повертає відповідь 2xx/3xx від того самого згенерованого хосту замість Vercel Authentication, SSO, пароль або завдання Deployment Protection [S2]. headers.security-headers окремо перевіряє публічну вихідну відповідь для CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy та захисту від клікджекінгу, налаштованого через Vercel або додаток [S3]. FixVibe не застосовує грубу силу для розгортання URL-адрес і не намагається обійти захищений попередній перегляд.
Що виправити
Увімкніть захист розгортання на інформаційній панелі Vercel, щоб захистити середовище попереднього перегляду та робоче середовище [S2]. Крім того, визначте та розгорніть спеціальні заголовки безпеки в конфігурації проекту, щоб захистити користувачів від типових веб-атак [S3].