🚨 CVE-2026-44578 — Next.js SSRF-Sicherheitslücke

ChatGPT-Bild vom 16. Mai 2026, 15:30:11 Uhr

📌 Übersicht

CVE-2026-44578 ist eine hochriskante Server-Side Request Forgery (SSRF)-Sicherheitslücke, die selbst gehostete Next.js-Anwendungen betrifft.

Angreifer können manipulierte WebSocket-Upgrade-Anfragen ausnutzen, um den Server zu ausgehenden Anfragen an interne oder externe Systeme zu zwingen.

⚠️ Auswirkungen

Diese Sicherheitslücke kann Angreifern Zugriff auf Folgendes ermöglichen:

Ziel	Risiko
🔐 Interne APIs	Unautorisierter interner Zugriff
☁️ Cloud-Metadaten-Endpunkte	Offenlegung von Anmeldeinformationen
🖥 Administrationsschnittstellen	Privilegieneskalation
🌐 Netzwerkressourcen	Interne Aufklärung

🧠 Angriffsablauf

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 Betroffene Versionen

Status	Versionen
❌ Anfällig	13.4.13 → < 15.5.16
❌ Anfällig	16.x → < 16.2.5
✅ Behoben	15.5.16+
✅ Behoben	16.2.5+

🛡 Gegenmaßnahmen

✅ Sofortmaßnahmen

Next.js sofort aktualisieren
Ausgehenden Datenverkehr einschränken
Metadaten-Endpunkte blockieren (169.254.169.254)
Bösartige Upgrade-Header filtern
Vermeiden, raw next start direkt freizugeben

🔥 Beispiel einer bösartigen Anfrage

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 Erkennungsideen

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

Überwachen auf:

Unerwartete ausgehende Anfragen
Zieladressierung interner IPs
Verdächtige WebSocket-Upgrades
Zugriffsversuche auf Metadatendienste

🔧 Empfohlener Reverse-Proxy-Schutz

NGINX-Beispiel

if ($http_upgrade = "websocket") {
    return 403;
}

📚 Referenzen

Ressource	Link
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-44578
GitHub Advisories	https://github.com/vercel/next.js/security/advisories
Next.js

CVE-2026-44578

Beliebteste