CVE-2025-29927: Next.js ミドルウェアの悪用

このツールは、Next.js の脆弱性である CVE-2025-29927 の悪用を実演し自動化します。この脆弱性により、攻撃者は内部ヘッダー x-middleware-subrequest を悪用して ミドルウェアのチェック（認証など）を バイパス できます。

🔧 脆弱性の仕組み

Next.js は内部でヘッダー x-middleware-subrequest を使用して、再帰的なリクエストにおける無限ループを防いでいます。しかし、このヘッダーは特定のバージョンでは外部からの操作に対して保護されておらず、悪意のある攻撃者がこれを偽装できるようになっています。

このヘッダーを手動で設定することで、認証、リダイレクト、ロギング、フィルタリングを実施するミドルウェアのロジックは完全にスキップされます。

このツールが行うこと:

• ベースラインリクエスト（ヘッダーなし）を送信します
• x-middleware-subrequest 用の複数のペイロードを反復処理します
• レスポンスボディの内容を比較します
• 以下を検出して報告します:
  • ✅ 確認されたバイパス: ステータスが 403 から 200 に変わる
  • ⚠️ レスポンスの差分: ステータスは同じだが、内容が異なる（部分的なバイパスまたは意図しない動作）
• 結果をクリーンな出力ファイルに保存し、さらなる分析に役立てます

🔖 影響を受けるバージョン

• Next.js 15.x < 15.2.3
• Next.js 14.x < 14.2.25
• Next.js 13.x < 13.5.9

脆弱なターゲット:

• ミドルウェアを使用するセルフホストの Next.js アプリ（例: 出力: standalone の next start）
• ミドルウェアが認証やセキュリティの強制に使用され、実行時に再検証されないアプリケーション

脆弱ではないもの:

• Vercel または Netlify でホストされているアプリ
• 静的エクスポート (next export)

👁️ 実際の悪用例

ミドルウェアバイパスの例:

Normal Request:
  GET /admin --> 403 Forbidden

Request with Header:
  GET /admin --> 200 OK
  x-middleware-subrequest: middleware 

ターゲットがミドルウェア経由で認証をチェックしていても、これは完全にバイパスします。

⚙️ インストールと使い方

🔥 リポジトリのクローン

git clone https://github.com/0x0Luk/0xMiddleware.git
cd 0xMiddleware

📂 入力

urls.txt というファイルを作成し、1行に1つのURLを記述します:

https://target.com/admin
https://target.com/_next/static/asset.js

🚀 ツールの実行

python3 0xMiddleware.py urls.txt

⚙️ 動作内容

• 各URLに対して、エクスプロイトヘッダーありとなしのリクエストを送信します

• 複数のペイロードバリエーションを使用します:

  • middleware
  • pages/_middleware
  • src/middleware
  • (およびその他)

• ログを記録します:

  • ✅ middleware_exploited.txt: 実際のバイパス（403 → 200）の場合
  • ⚠️ middleware_response_diff.txt: レスポンス内容が異なる場合

🚨 修正 / 緩和策

直ちに Next.js を安全なバージョンにアップグレードしてください:

• 15.2.3+
• 14.2.25+
• 13.5.9+

さらに:

• ミドルウェアの検証がサーバー側で再確認されることを確認してください（例: getServerSideProps、JWT、セッション経由）
• 内部ヘッダーの外部からの使用をサニタイズまたは拒否してください

✨ 出力サンプル

[✔] Bypass successful: https://target.com/admin (payload: middleware)
[•] Response difference detected: https://target.com/login (payload: src/middleware)

[✔] Found 3 bypasses > middleware_exploited.txt
[•] Found 5 response diffs > middleware_response_diff.txt

🔗 参照

• ✨ CVE: https://nextjs.org/blog/cve-2025-29927