Обновление по инциденту безопасности Vercel: пакеты npm не скомпрометированы, новые переменные окружения по умолчанию считаются «чувствительными»

Согласно мониторингу Beating, официальная учетная запись Vercel объявила утром 21 апреля, что после совместного расследования с GitHub, Microsoft, npm и Socket было подтверждено, что пакеты, опубликованные Vercel на npm, не были взломаны, и цепочка поставок «остается безопасной». Vercel поддерживает открытые библиотеки, такие как Next.js, Turbopack и SWR на npm, которые совместно имеют миллиарды загрузок каждый месяц. Если бы злоумышленник использовал учетную запись сотрудника для отравления этих пакетов, воздействие значительно превзошло бы влияние на собственных клиентов Vercel. Эта проверка устранила самую большую связанную с инцидентом угрозу. В тот же день было обновлено официальное сообщение о безопасности с тремя деталями. Впервые было уточнено, что охваченная область сведена до уровня поля. В объявлении было указано, что утекшая информация состояла из переменных окружения клиентов, которые не были помечены как «чувствительные», и хранились в виде открытого текста после расшифровки на сервере. Vercel все еще расследует, было ли украдено больше данных. Среди рекомендаций для клиентов было добавлено, что «удаление проекта или учетной записи Vercel само по себе не устраняет риск». Все чувствительные ключи без маркировки должны быть заменены перед удалением, поскольку полученные злоумышленником учетные данные все еще могут напрямую подключаться к производственной системе. Со стороны продукта значение по умолчанию было изменено. Новые переменные окружения теперь по умолчанию устанавливаются как «чувствительные» (чувствительные: включено). Ранее для старых аккаунтов новые переменные по умолчанию были обычного типа и требовали ручной проверки для включения чувствительности. Это было прямым входом для злоумышленника для чтения переменных в открытом виде. Панель управления также запустила более подробный интерфейс журнала активности и управление переменными окружения на уровне команды; среди всех рекомендаций по безопасности приоритетным было «включение двухфакторной аутентификации».