Pembaharuan Insiden Keamanan Vercel: Paket npm Tidak Tersusupi, Variabel Lingkungan Baru Secara Default Menjadi 'Sensitif'

Menurut pemantauan oleh Beating, akun resmi Vercel mengumumkan pada pagi hari tanggal 21 April bahwa setelah penyelidikan bersama dengan GitHub, Microsoft, npm, dan Socket, dikonfirmasi bahwa tidak ada paket yang diterbitkan oleh Vercel di npm yang telah dirusak, dan rantai pasokan ‘tetap aman.’ Vercel mempertahankan perpustakaan sumber terbuka seperti Next.js, Turbopack, dan SWR di npm, yang secara kolektif memiliki miliaran unduhan setiap bulan. Jika seorang penyerang menggunakan akun karyawan untuk meracuni paket-paket ini, dampaknya akan jauh melebihi dampak pada pelanggan Vercel sendiri. Verifikasi ini telah menghilangkan risiko terbesar yang terkait dari insiden tersebut. Pada hari yang sama, pengumuman keamanan resmi diperbarui dengan tiga detail. Lingkup yang terkena dijelaskan hingga tingkat bidang untuk pertama kalinya. Pengumuman menyatakan bahwa informasi yang bocor terdiri dari variabel lingkungan pelanggan yang tidak ditandai sebagai ‘sensitif,’ yang disimpan dalam bentuk teks biasa setelah didekripsi di backend. Vercel masih menyelidiki apakah lebih banyak data yang diekstraksi. Di antara rekomendasi untuk pelanggan, ditambahkan bahwa ‘menghapus proyek atau akun Vercel sendiri tidak menghilangkan risiko.’ Semua kunci sensitif yang tidak ditandai harus diputar ulang sebelum mempertimbangkan penghapusan, karena kredensial yang diperoleh penyerang masih dapat terhubung langsung ke sistem produksi. Di sisi produk, nilai default telah diubah. Variabel lingkungan baru sekarang diatur ke ‘sensitif’ (sensitive: on) secara default. Sebelumnya, untuk akun yang lebih lama, variabel yang baru ditambahkan secara default bertipe biasa dan harus diperiksa secara manual untuk mengaktifkan sensitivitas. Ini adalah titik masuk langsung bagi penyerang untuk membaca variabel teks biasa. Dashboard juga telah meluncurkan antarmuka log aktivitas yang lebih rinci dan manajemen variabel lingkungan tingkat tim; di antara semua rekomendasi keamanan, ‘aktifkan otentikasi dua faktor’ telah diprioritaskan.