Cái móc
Việc bảo mật triển khai Vercel yêu cầu cấu hình hoạt động của các tính năng bảo mật như Bảo vệ triển khai và tiêu đề HTTP tùy chỉnh [S2][S3]. Việc dựa vào cài đặt mặc định có thể khiến môi trường và người dùng gặp phải các truy cập trái phép hoặc các lỗ hổng phía máy khách [S2][S3].
Điều gì đã thay đổi
Vercel cung cấp các cơ chế cụ thể cho Bảo vệ triển khai và quản lý tiêu đề tùy chỉnh để nâng cao trạng thái bảo mật của các ứng dụng được lưu trữ [S2][S3]. Các tính năng này cho phép nhà phát triển hạn chế quyền truy cập vào môi trường và thực thi các chính sách bảo mật cấp trình duyệt [S2][S3].
##Ai bị ảnh hưởng Các tổ chức sử dụng Vercel sẽ bị ảnh hưởng nếu họ chưa định cấu hình Bảo vệ triển khai cho môi trường của mình hoặc xác định các tiêu đề bảo mật tùy chỉnh cho ứng dụng [S2][S3] của họ. Điều này đặc biệt quan trọng đối với các nhóm quản lý dữ liệu nhạy cảm hoặc triển khai bản xem trước riêng tư [S2].
Vấn đề diễn ra như thế nào
Việc triển khai Vercel có thể truy cập được thông qua các URL được tạo trừ khi Bảo vệ triển khai được bật rõ ràng để hạn chế quyền truy cập [S2]. Ngoài ra, nếu không có cấu hình tiêu đề tùy chỉnh, các ứng dụng có thể thiếu các tiêu đề bảo mật cần thiết như Chính sách bảo mật nội dung (CSP), không được áp dụng theo mặc định [S3].
Kẻ tấn công nhận được gì
Kẻ tấn công có khả năng truy cập vào các môi trường xem trước bị hạn chế nếu Bảo vệ triển khai không hoạt động [S2]. Việc thiếu các tiêu đề bảo mật cũng làm tăng nguy cơ tấn công thành công từ phía máy khách, vì trình duyệt thiếu các hướng dẫn cần thiết để chặn các hoạt động độc hại [S3].
FixVibe kiểm tra nó như thế nào
FixVibe hiện liên kết chủ đề nghiên cứu này với hai cuộc kiểm tra thụ động đã được vận chuyển. Cờ headers.vercel-deployment-security-backfill chỉ gắn cờ URL triển khai *.vercel.app do Vercel tạo khi một yêu cầu chưa được xác thực thông thường trả về phản hồi 2xx/3xx từ cùng một máy chủ được tạo thay vì Vercel Xác thực, SSO, mật khẩu hoặc thử thách Bảo vệ Triển khai [S2]. headers.security-headers kiểm tra riêng phản hồi sản xuất công khai cho CSP, HSTS, X-Content-Type-Options, Chính sách giới thiệu, Chính sách quyền và các biện pháp bảo vệ chống nhấp chuột được định cấu hình thông qua Vercel hoặc ứng dụng [S3]. FixVibe không ép buộc các URL triển khai hoặc cố gắng bỏ qua các bản xem trước được bảo vệ.
Cần khắc phục điều gì
Kích hoạt Bảo vệ triển khai trong bảng điều khiển Vercel để bảo mật môi trường sản xuất và xem trước [S2]. Hơn nữa, xác định và triển khai các tiêu đề bảo mật tùy chỉnh trong cấu hình dự án để bảo vệ người dùng khỏi các cuộc tấn công dựa trên web phổ biến [S3].