Suposto zero-day no Turborepo é colocado à venda por US$ 2.500
Anúncio em fórum underground oferece uma suposta falha zero-day no Turborepo, ferramenta de build da Vercel, por US$ 2.500. O vendedor alega que a falha rouba tokens Bearer da Vercel pelo mecanismo Remote Cache, apenas manipulando o arquivo turbo.json, com severidade CVSS 8.1. Não há correção anunciada nem confirmação da Vercel; equipes que usam o pacote turbo devem revisar permissões sobre o turbo.json e rotacionar tokens enquanto não há posição oficial.
O que aconteceu
Um vendedor em fórum underground anunciou uma suposta vulnerabilidade zero-day no Turborepo, ferramenta de build da Vercel, por US$ 2.500. Segundo o vendedor, a falha permite roubar tokens Bearer da Vercel pelo mecanismo Remote Cache, manipulando apenas o arquivo de configuração turbo.json. A Vercel não confirmou a falha e não há correção anunciada.
Por que importa
Segundo o anúncio, o pacote turbo tem cerca de 43 milhões de downloads por semana no npm, com uso citado em empresas como SAP, JPMorgan Chase e Disney. O vendedor afirma que o token roubado permite assumir contas pela API da Vercel e acessar variáveis de ambiente, incluindo chaves da AWS e Stripe e credenciais de banco, além de comprometer CI/CD e implantações em produção. Se confirmada, a falha expõe segredos e pipelines de desenvolvimento.
O que fazer
Monitorar uma posição oficial da Vercel e atualizações do pacote turbo. Revisar quem pode alterar arquivos turbo.json nos repositórios e restringir essas permissões. Rotacionar tokens da Vercel e revisar variáveis de ambiente sensíveis, como chaves da AWS e Stripe.
Para o time técnico
- Afetados
- Vercel Turborepo (pacote npm turbo) · Pacote npm turbo (Turborepo), da Vercel. Versões afetadas não informadas no anúncio.
- Exploração
- Sem exploração relatada e sem PoC pública. Anúncio de venda em fórum underground por US$ 2.500, divulgado pela plataforma dbugs. Severidade atribuída pelo próprio vendedor: CVSS 8.1.
- Correção
- Não há correção ou mitigação anunciada nas fontes.
- Vetor
- Componente: pacote npm turbo (Turborepo), mecanismo Remote Cache. Falha alegada: roubo de tokens Bearer da Vercel antes da execução das tarefas de build. Condição alegada: manipulação do arquivo de configuração turbo.json, sem necessidade de execução de código malicioso.
- Mais detalhes
- O vendedor alega que o token permite assumir a conta pela API da Vercel e acessar variáveis de ambiente, incluindo chaves da AWS e Stripe e credenciais de banco. O anúncio cita cerca de 43 milhões de downloads semanais no npm e mais de 31.000 estrelas no GitHub, e lista SAP, JPMorgan Chase e Disney como usuárias. Detalhes técnicos da falha não foram divulgados.
Linha do tempo
Incidente aberto a partir do anúncio de venda da suposta falha em fórum underground.
Fontes 1 fonte
- @ptdbugs @ptdbugs
