このリポジトリには、Next.js を使用して構築された意図的に脆弱なWebアプリケーションが含まれています。これは、CVE-2025-29927として知られるセキュリティ問題を実演し、研究するために設計されています。 このプロジェクトの目的は、セキュリティ研究者、学生、バグバウンティハンターが、実際の環境に近い状況で脆弱性がどのように機能するかを理解するのを助けることです。

[!CAUTION ] このアプリケーションは意図的に安全ではなく、本番環境にデプロイしてはなりません。

🔩目的

• 脆弱性の仕組みを学ぶ
• 安全に特定し、悪用する練習をする
• 安全でないミドルウェア処理の影響を理解する
• バグバウンティとWebセキュリティのスキルを向上させる

🐞脆弱性

CVE-2025-29927は、特にミドルウェアにおいて、Next.jsで構築されたアプリケーションでのリクエストロジックの不適切な処理に関連しています。これにより、攻撃者は以下が可能になります。

1. 認証または認可チェックのバイパス
2. 細工されたヘッダーや入力を使用したリクエストフローの操作
3. 制限されたリソースへのアクセス

📁プロジェクト構造

• app/ → アプリケーションルート
• middleware.ts → 脆弱なロジックを含む
• api/ → バックエンドエンドポイント（保護されたルートを含む）

⚙️インストールとセットアップ

git clone https://github.com/metasploit403/cve-2025-29927-lab
cd cve-2025-29927-lab
npm install
npm run dev

🪲脆弱なエンドポイント

一部のルートは意図的に脆弱であり、以下を含む場合があります。

- /api/admin/secret
- /api/internal/health
- /api/private/data

これらのエンドポイントは、適切な認可なしではアクセスできないはずの制限されたリソースをシミュレートしています。

🔥悪用

1. リポジトリのクローンが正常に完了したと仮定します。
2. 開始 npm run dev
3. これによりプロジェクトがローカルで実行されます。
4. 任意のブラウザ（例：Chrome）を開き、http://localhost:3000 と入力します。
5. 3つのAPIエンドポイントのいずれかにアクセスしてみます。

- /api/admin/secret
- /api/internal/health
- /api/private/data

6. 次に、任意のエンドポイントで試します。

- http://localhost:3000/api/admin/secret
- http://localhost:3000/api/internal/health
- http://localhost:3000/api/private/data

7. リクエストがブロックされていることを確認します。これは、リクエストにcookieを含めていないためです。つまり、エンドポイントはミドルウェアによって保護されています。ミドルウェアはリクエストにcookieがあるかどうかをチェックし、ない場合は自動的にブロックされます。

8. では、リクエストにcookieを追加しましょう。これを行うには、ChromeのDevToolを開きます（ここではChromeブラウザを使用していますが、お好きなブラウザを使用できます）。

9. F12を押すと、Chrome DevToolが開きます。

10. コンソールタブに移動します。

11. コンソールタブで document.cookie="lab-auth=authenticated" と入力します。

12. 次に、ページをリフレッシュし、ログインしていることを確認します。

ミドルウェアがリクエストにcookieが含まれているかどうかをチェックしていることに留意してください。リクエストにcookieがあれば正常にログインでき、なければブロックされます。 問題は、cookieを提供せずにミドルウェアチェックをバイパスしてログインするにはどうすればよいか、ということです。これがCVE-2025-29927の役割です。

では、CVE-2025-29927を使用してミドルウェアの認証チェックをバイパスしましょう。秘訣は、特定のヘッダーを追加することだけです。 x-middleware-subrequest: middleware。 このヘッダーは、フレームワークによって内部的にのみ使用されることを想定されています。これを追加すると、middlewareはリクエストにcookieがあるかどうかのチェックを停止し、アプリケーション内の機密エンドポイントは無防備になります。

これを悪用するには、cURLを使用しましょう。 curlは、リクエストをサーバーに送信し、応答を取得するためのコマンドラインツールです。

1.cookieなしで401を期待

curl.exe -i http://localhost:3000/api/admin/secret

サーバーがステータスコード307一時的リダイレクトで応答したことを確認します。cookieがないため、ホームページ/ルートページにリダイレクトされます。つまり、cookieを提供しない限りログインできません。

2.curl.exe -i http://localhost:3000/api/admin/secret -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware"

ここで "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" を追加しました。 cookieなしでログインにアクセスできたことを確認します。これは完全な認証バイパスです。

🔐緩和策

実際のアプリケーションでこのような問題を修正するには：

• クライアントが制御するヘッダーを盲目的に信頼しない
• ミドルウェアですべての入力を検証する
• サーバー側で適切な認証チェックを実装する
• 安全でないリクエストの前提に依存しない
• パッチが適用されたバージョンのNext.jsにアップグレードする
• アップグレードできない場合は、リバースプロキシでx-middleware-subrequestヘッダーを除去する

🫵これは誰のためのものか？

• バグバウンティハンター
• セキュリティ研究者
• Webセキュリティを学ぶ学生
• 安全なミドルウェア設計を理解したい開発者

⛔免責事項

このプロジェクトは教育目的のみです。 所有していない、または明示的な許可を得ていないシステムでこれらの手法を使用しないでください。

🤝貢献

自由にどうぞ：

• ラボを改善する
• 新しい脆弱なシナリオを追加する
• 修正やより良い説明を提出する

⭐サポート

これが役立つと思われたなら、リポジトリにスターを付けることを検討してください。

🏷️タグ

- Next.js 
- バグバウンティ 
- Webセキュリティ 
- CVE-2025-29927 
- ミドルウェア認証 
- バイパス