Atualização sobre o incidente de segurança da Vercel: pacotes npm não comprometidos, novas variáveis de ambiente padrão como 'Sensível'

De acordo com o monitoramento da Beating, a conta oficial da Vercel anunciou na manhã de 21 de abril que, após uma investigação conjunta com GitHub, Microsoft, npm e Socket, foi confirmado que nenhum pacote publicado pela Vercel no npm foi adulterado, e a cadeia de suprimentos ‘permanece segura’. A Vercel mantém bibliotecas de código aberto como Next.js, Turbopack e SWR no npm, que coletivamente têm bilhões de downloads por mês. Se um atacante fosse envenenar esses pacotes usando uma conta de funcionário, o impacto seria muito maior do que sobre os próprios clientes da Vercel. Essa verificação eliminou o maior risco associado ao incidente. No mesmo dia, o anúncio oficial de segurança foi atualizado com três detalhes. O escopo afetado foi esclarecido até o nível de campo pela primeira vez. O anúncio afirmou que as informações vazadas consistiam em variáveis de ambiente de clientes que não foram marcadas como ‘sensíveis’, e que estavam armazenadas em texto simples após serem descriptografadas no backend. A Vercel ainda está investigando se mais dados foram exfiltrados. Entre as recomendações para os clientes, foi acrescentado que ‘excluir o projeto ou conta da Vercel em si não elimina o risco’. Todas as chaves sensíveis não marcadas devem ser rotacionadas antes de considerar a exclusão, pois as credenciais obtidas pelo atacante ainda podem se conectar diretamente ao sistema de produção. Do lado do produto, o valor padrão foi alterado. Variáveis de ambiente novas agora são configuradas como ‘sensíveis’ (sensível: ativado) por padrão. Anteriormente, para contas mais antigas, as variáveis recém-adicionadas tinham padrão de tipos regulares e precisavam ser verificadas manualmente para ativar a sensibilidade. Essa foi a porta de entrada direta para o atacante ler variáveis em texto simples. O Painel também lançou uma interface de registro de atividades mais detalhada e gerenciamento de variáveis de ambiente a nível de equipe; entre todas as recomendações de segurança, ‘ativar autenticação de dois fatores’ foi priorizado.