Vercel on ilmoittanut tietoturvaloukkauksesta, jossa luvaton pääsy yhtiön sisäisiin järjestelmiin kosketti pientä osaa asiakkaista.
Verkkohotellialusta julkaisi tietoturva-tiedotteen 19. huhtikuuta ja kehotti kaikkia käyttäjiä tarkistamaan ympäristömuuttujansa välittömästi.
Mitä Vercelillä tapahtui
Vercelin virallisen lausunnon mukaan hyökkääjät saivat luvattoman pääsyn joihinkin sisäisiin järjestelmiin. Yhtiö on ottanut käyttöön tilanteisiin erikoistuneita asiantuntijoita sekä ilmoittanut tapahtuneesta viranomaisille.
Kehittäjä Theo Browne jakoi lisää tietoa ja totesi, että hyökkäyksen suurimman iskun saivat Vercelin Linear- ja GitHub -integraatiot.
Alustan herkäksi merkityt ympäristömuuttujat jäivät kuitenkin suojatuiksi.
Herkkänä merkitsemättömät muuttujat kannattaa varmuuden vuoksi vaihtaa uusiin.
Hyökkäystapa saattoi kohdistua useisiin yhtiöihin Vercelin lisäksi. Vaikutuksen kokonaislaajuus on vielä epäselvä tutkinnan ollessa kesken.
Miksi kryptoprojektien kannattaa seurata tilannetta
Monien krypto- ja Web3-frontendien julkaisu tapahtuu Vercelillä, lompakkojen yhdistimistä aina hajautettujen sovellusten käyttöliittymiin.
Projektit, jotka säilyttävät API-avaimia, yksityisiä RPC-päätepisteitä tai lompakkoihin liittyviä salaisuuksia ei-herkissä ympäristömuuttujissa, altistuvat mahdolliselle tietovuodon riskille.
Tietomurto ei kuitenkaan suoraan uhkaa lohkoketjuja tai älysopimuksia, sillä ne toimivat frontend-hostingista riippumatta.
Kompromissin saanut julkaisuputki mahdollistaisi teoriassa käännösprosessin manipuloinnin kyseisissä tileissä.
Yhtään todistetta tällaisesta manipuloinnista ei ole kuitenkaan tullut ilmi.
Vercel suosittelee kaikkien ympäristömuuttujien tarkistamista ja herkkien muuttujien suojaustoiminnon käyttöönottoa.
Tietoturva-asiantuntijat kehottavat myös uudistamaan Vercel-integraatioihin liitetyt GitHub-tokenit ja tarkistamaan tuoreet rakennuslokit mahdollisten välimuistiin tallentuneiden tunnusten varalta.
Tapaus muistuttaa keskitettyjen julkaisuympäristöjen tuomista riskeistä hajautetussa maailmassa.
