🚨 CVE-2026-44578 — Next.js SSRF 脆弱性

📌 概要

CVE-2026-44578 は、セルフホスト型 Next.js アプリケーションに影響を与える 高深刻度のサーバーサイドリクエストフォージェリ (SSRF) 脆弱性です。

攻撃者は細工された WebSocket Upgrade リクエスト を悪用して、サーバーに内部または外部システムへのアウトバウンドリクエストを強制することができます。

⚠️ 影響

この脆弱性により、攻撃者は以下にアクセスできる可能性があります：

対象	リスク
🔐 内部API	内部への不正アクセス
☁️ クラウドメタデータエンドポイント	認証情報の漏洩
🖥 管理インターフェース	権限昇格
🌐 ネットワークリソース	内部偵察

🧠 攻撃フロー

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 影響を受けるバージョン

ステータス	バージョン
❌ 脆弱	13.4.13 → < 15.5.16
❌ 脆弱	16.x → < 16.2.5
✅ 修正済み	15.5.16+
✅ 修正済み	16.2.5+

🛡 緩和策

✅ 即時対策

Next.js を直ちにアップグレードする
アウトバウンドトラフィックを制限する
メタデータエンドポイント (169.254.169.254) をブロックする
悪意のあるアップグレードヘッダーをフィルタリングする
生の next start を直接公開しない

🔥 悪意のあるリクエスト例

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 検出のアイデア

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

監視対象：

予期しないアウトバウンドリクエスト
内部IPを対象とするリクエスト
不審なWebSocketアップグレード
メタデータサービスへのアクセス試行

🔧 推奨されるリバースプロキシ対策

NGINX 例

if ($http_upgrade = "websocket") {
    return 403;
}

📚 参考資料

リソース	リンク
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-44578
GitHub Advisories	https://github.com/vercel/next.js/security/advisories
Next.js

CVE-2026-44578

人気