Atualização sobre o incidente de segurança na Vercel: pacote npm não foi contaminado, variável de ambiente padrão criada é automaticamente considerada "sensível"

De acordo com a monitorização do Beating, a conta oficial da Vercel anunciou na manhã de 21 de abril que, após uma investigação conjunta com o GitHub, Microsoft, npm e Socket, nenhuma das pacotes publicados pela Vercel no npm foi adulterada, mantendo a cadeia de fornecimento “ainda segura”. A Vercel mantém no npm bibliotecas de código aberto como Next.js, Turbopack, SWR, com um total de dezenas de milhões de downloads mensais; se um atacante usar uma conta de funcionário para injetar código malicioso, o impacto seria muito maior do que o nos próprios clientes da Vercel. Esta verificação eliminou a maior risco de efeito colateral mencionado no incidente.

No mesmo dia, o anúncio oficial de segurança foi atualizado com três detalhes adicionais. O alcance afetado foi esclarecido pela primeira vez até o nível de campo. O anúncio afirma que os dados vazados foram as variáveis de ambiente de clientes que não estavam marcadas como “sensíveis”, e que, após descriptografadas no backend, foram armazenadas em texto claro. Ainda está em investigação se mais dados foram levados. Uma recomendação adicional aos clientes foi que “excluir projetos ou contas da Vercel não elimina o risco”. É necessário trocar todas as chaves não marcadas como sensíveis antes de considerar a exclusão, pois as credenciais obtidas pelo atacante ainda podem conectar-se diretamente ao sistema de produção.

Do lado do produto, o valor padrão foi alterado. Agora, ao criar uma variável de ambiente, ela é automaticamente marcada como “sensível” (sensitive: on). Contas antigas, ao adicionar novas variáveis, por padrão, eram do tipo comum e precisavam ser marcadas manualmente como sensíveis. Essa foi a porta de entrada direta para que o atacante pudesse ler variáveis em texto claro nesta ocasião. O painel de controle também foi atualizado com uma interface mais detalhada de logs de atividades e gerenciamento de variáveis de ambiente a nível de equipe; entre todas as recomendações de segurança, “ativar autenticação de dois fatores” foi colocada em destaque.