Mise à jour sur l'incident de sécurité Vercel : les packages npm ne sont pas compromis, les nouvelles variables d'environnement sont par défaut « sensibles »

Selon une surveillance de Beating, le compte officiel de Vercel a annoncé le matin du 21 avril qu’après une enquête conjointe avec GitHub, Microsoft, npm et Socket, il a été confirmé qu’aucun package publié par Vercel sur npm n’avait été falsifié, et que la chaîne d’approvisionnement « reste sécurisée ». Vercel maintient des bibliothèques open-source telles que Next.js, Turbopack et SWR sur npm, qui totalisent collectivement des milliards de téléchargements chaque mois. Si un attaquant devait empoisonner ces packages en utilisant un compte employé, l’impact dépasserait de loin celui sur les clients de Vercel lui-même. Cette vérification a éliminé le plus grand risque associé à l’incident. Le même jour, l’annonce officielle de sécurité a été mise à jour avec trois détails. La portée affectée a été précisée jusqu’au niveau du champ pour la première fois. L’annonce indiquait que les informations divulguées comprenaient des variables d’environnement client qui n’étaient pas marquées comme « sensibles », et qui étaient stockées en texte clair après décryptage dans le backend. Vercel continue d’enquêter pour savoir si davantage de données ont été exfiltrées. Parmi les recommandations pour les clients, il a été ajouté que « supprimer le projet ou le compte Vercel lui-même ne supprime pas le risque ». Toutes les clés sensibles non marquées doivent être renouvelées avant de considérer la suppression, car les identifiants obtenus par l’attaquant peuvent toujours se connecter directement au système de production. Du côté du produit, la valeur par défaut a été modifiée. Les nouvelles variables d’environnement sont désormais configurées par défaut en « sensible » (sensible : on). Auparavant, pour les comptes plus anciens, les variables nouvellement ajoutées étaient par défaut de type normal et devaient être vérifiées manuellement pour activer la sensibilité. C’était le point d’entrée direct pour l’attaquant afin de lire des variables en texte clair. Le tableau de bord a également lancé une interface de journal d’activité plus détaillée et une gestion des variables d’environnement au niveau de l’équipe ; parmi toutes les recommandations de sécurité, « activer l’authentification à deux facteurs » a été priorisé.