Next.js Middleware Bypass (CVE-2025-29927) 概念実証

このリポジトリには、Next.js のミドルウェアで実装された認可チェックを攻撃者がバイパスできる深刻な脆弱性 CVE-2025-29927 の概念実証 (POC) が含まれています。

📋 目次

1. POCアプリケーションの実行
2. エクスプロイトスクリプトの使用
3. 脆弱性の修正方法
4. 脆弱性の詳細

POCアプリケーションの実行

このNext.jsアプリケーションは、保護されたダッシュボードルートを使って脆弱性を示します。

セットアップ手順

1. リポジトリをクローンする
2. インストールして実行する：
   root@kitploit:~

   npm install
   npm run build
   npm run start
   

3. ブラウザで http://localhost:3000 にアクセスする
4. 保護されたダッシュボード /dashboard にアクセスしてみる

エクスプロイトスクリプトの使用

エクスプロイトスクリプトは、この脆弱性について任意のNext.jsアプリケーションをテストできます。

使い方

npm run exploit <target-url>

例

npm run exploit http://localhost:3000/dashboard

仕組み

エクスプロイトツール：

1. ターゲットURLを入力として受け取る
2. 通常のリクエストを行い、ルートが保護されているか確認する
3. x-middleware-subrequest ヘッダーを使ってミドルウェアのバイパスを試みる
4. レスポンスを比較して脆弱性の有無を判断する

出力例

=== Next.js CVE-2025-29927 Middleware Bypass Tester ===
Target: http://localhost:3000/dashboard

Testing vulnerability...
Normal request status: 307
Bypass request status: 200

⚠️  VULNERABLE
The route is protected but accessible with the bypass header

脆弱性の修正方法

修正の実装は how-to-fix ブランチ で入手できます。

クイックフィックス

1. Next.js バージョンの更新 (推奨)

   • 以下の修正済みバージョンのいずれかに更新してください：
     • Next.js 15.x → 15.2.3
     • Next.js 14.x → 14.2.25
     • Next.js 13.x → 13.5.9
     • Next.js 12.x → 12.3.5

2. 二次的な検証の実装

   • APIルート/ページに認証チェックを追加する
   • セキュリティをミドルウェアだけに依存しない

出力例

=== Next.js CVE-2025-29927 Middleware Bypass Tester ===

Target: http://localhost:3000/dashboard

Testing vulnerability...
Making request without bypass header...
Making request with bypass header...
Normal request status: 307
Bypass request status: 307

✓ NOT VULNERABLE - Protected Route
The route is protected and the bypass attempt was unsuccessful
Normal request redirected to: /
Bypass request redirected to: /

脆弱性の詳細

CVE 情報

• CVE ID: CVE-2025-29927
• 影響を受けるバージョン:
  • 13.0.0 - 13.5.8
  • 14.0.0 - 14.2.24
  • 15.0.0 - 15.2.2
  • 11.1.4 - 12.3.4

説明

Next.js は内部ヘッダー x-middleware-subrequest を使用して再帰的なリクエストを防止しています。この脆弱性により、攻撃者はこのヘッダーを操作することでミドルウェアのセキュリティチェックをバイパスできます。

影響

• 保護されたルートへの不正アクセス
• 認証チェックのバイパス
• セキュリティミドルウェアの回避

影響を受ける環境

• ミドルウェアを使用する自己ホスト型のNext.jsアプリケーション

参考情報

• Next.js セキュリティ勧告
• GitHub セキュリティ勧告

実際のCTF環境でこのエクスプロイトを練習する

さらに進みたいですか？このCVEは、攻撃的なセキュリティトレーニングのために設計された意図的に脆弱なラボ OSS OopsSec Store のフラグとして実装されています。

👉 ここでチャレンジを試す → kOaDT/oss-oopssec-store

免責事項

このツールは教育およびテスト目的のみで提供されています。このツールは、自分が所有している、またはテストする明示的な許可を得ているシステムでのみ使用してください。