Vercel, iç sistemlerine yetkisiz erişim sağlanan bir güvenlik olayı yaşadığını duyurdu. Bu gelişme, sınırlı sayıda müşteriyi etkiledi.
Web barındırma platformu, 19 nisan tarihinde bir güvenlik bülteni yayınladı ve tüm kullanıcılarına ortam değişkenlerini acilen gözden geçirme çağrısı yaptı.
Vercel’de Neler Oldu?
Vercel’in resmi açıklamasına göre, saldırganlar bazı iç sistemlere yetkisiz erişim sağladı. Şirket şu anda olay müdahalesi uzmanlarıyla birlikte çalışıyor ve kolluk kuvvetlerine bildirimde bulundu.
Geliştirici Theo Browne, ek detaylar paylaştı ve Vercel’in Linear ile GitHub entegrasyonlarının saldırıdan en çok etkilenen noktalar olduğunu belirtti.
Ancak platformda “hassas” olarak işaretlenen ortam değişkenleri koruma altında kaldı.
Hassas olarak işaretlenmeyen değişkenlerin ise tedbir amacıyla döndürülmesi öneriliyor.
İhlalin yöntemi, Vercel’in ötesinde birden fazla şirketi hedef almış olabilir. Araştırma sürerken etkilenen müşteri sayısının netleşmediğini belirtelim.
Kripto Projeleri Neden Dikkatli Olmalı?
Pek çok kripto para ve Web3 arayüzünün cüzdan bağlantılarından merkeziyetsiz uygulama arayüzlerine kadar dağıtımı Vercel üzerinden sağlanıyor.
API anahtarları, özel RPC endpoint’leri ya da cüzdanla ilgili gizli bilgiler, hassas olarak işaretlenmemiş ortam değişkenlerinde tutuluyorsa ciddi bir sızıntı riski söz konusu olabilir.
Bu ihlal doğrudan blockchain’leri veya akıllı kontrat’ları tehdit etmiyor çünkü söz konusu sistemler arayüz barındırmadan bağımsız çalışıyor.
Ancak tehlike tamamen geçmiş değil: Etkilenen hesaplarda dağıtım süreçlerinin ele geçirilmesiyle, teorik olarak derleme manipülasyonu yaşanabilir.
Şu ana kadar bu tür manipülasyonlara dair herhangi bir kanıt bulunamadı.
Vercel, tüm ortam değişkenlerinin gözden geçirilmesini ve hassas değişken özelliğinin aktif edilmesini tavsiye ediyor.
Güvenlik uzmanları, ayrıca Vercel entegrasyonlu GitHub token’larının yeniden oluşturulmasını ve son derleme günlüklerinde önbelleğe alınmış kimlik bilgilerinin denetlenmesini öneriyor.
Bu olay merkeziyetsiz bir dünyada merkezi dağıtım platformlarının riskini hatırlatıyor; akıllı davranan kazanır demek yanlış olmaz.
