Next.jsの脆弱性（CVE-2025-29927）の話

自己紹介 kuzushiki - セキュリティエンジニア5年目 - 2020～2024: 脆弱性診断・ペネトレーションテスト - 2024～: コーポレートITのセキュリティ担当

背景発表のネタがなく困っていたところ、先週末にNext.jsの脆弱性が話題になっていた→ 面白そうだったので調査することにした

Next.jsとは有名なWebフレームワークの一つで、Reactがベースになっている JavaScriptのメタフレームワークの中では利用率1位 https://2024.stateofjs.com/en-US/libraries/#all_tools_experience 2024年｜案件が多い「フレームワーク」ランキング 8位 https://prtimes.jp/main/html/rd/p/000000111.000045678.html

CVE-2025-29927とは Next.jsのMiddlewareによる処理がスキップされる脆弱性認証認可のチェックをMiddlewareでやっていた場合、本来アクセスできない機能にアクセスされる恐れあり公式のアナウンスも出ていた https://nextjs.org/blog/cve-2025-29927

デモやりますデモアプリはAppRunで公開しているので、ぜひ試してみてください！ https://app-e5e67cd8-f4e6-4f7c-b571-09b522207dd6.ingress.apprun.sakura.ne.jp/ ソースコードも公開中 https://github.com/kuzushiki/CVE-2025-29927-test

なんでこんなことに？ > Next.js uses an internal header x-middleware-subrequest to prevent
recursive requests from triggering infinite loops. https://nextjs.org/blog/cve-2025-29927 内部ヘッダーx-middleware-subrequestを使って、再帰的なリクエストが無限ループを引き起こすのを防いでいた。 -> すでにMiddlewareを通過したものとして処理されるようになっていた！

脆弱性についての所感 CVSS 9.1で深刻的な脆弱性ではあるものの... 実は、Middlewareのみで認証認可のチェックをすることは推奨されていない > Optionally use Middleware to perform
optimistic checks. https://nextjs.org/docs/pages/building-your-application/authentication 実際に悪用される可能性は低かったのでは?

対策可能ならアップデートしましょう For Next.js 15.x, this issue is fixed in
15.2.3 For Next.js 14.x, this issue is fixed in 14.2.25 For Next.js 13.x, this issue is fixed in 13.5.9 For Next.js 12.x, this issue is fixed in 12.3.5 もし難しければ、x-middleware-subrequestヘッダを含む外部からのリクエストをWAFなどで遮断しましょう

おわりにミドルウェアでのチェックを過信してはいけない使う前に公式ドキュメントを読んで、用途に問題がないか確認しておこうバグハンター目線だと狙い目かも？

Next.jsの脆弱性（CVE-2025-29927）の話

Next.jsの脆弱性（CVE-2025-29927）の話

kuzushiki

More Decks by kuzushiki

Other Decks in Technology

Featured

Transcript