🚨 CVE-2026-44578 — Next.js SSRF 취약점

📌 개요

CVE-2026-44578은(는) 자체 호스팅 Next.js 애플리케이션에 영향을 미치는 고심각도 서버 측 요청 위조(SSRF) 취약점입니다.

공격자는 조작된 WebSocket 업그레이드 요청을 악용하여 서버가 내부 또는 외부 시스템에 아웃바운드 요청을 보내도록 강제할 수 있습니다.

⚠️ 영향

이 취약점으로 인해 공격자가 다음에 접근할 수 있습니다:

🧠 공격 흐름

Attacker
   │
   ▼
Crafted WebSocket Upgrade Request
   │
   ▼
Next.js Server
   │
   ├──► Internal APIs
   ├──► Cloud Metadata Services
   ├──► Admin Interfaces
   └──► Other Internal Resources

📦 영향을 받는 버전

🛡 완화 조치

✅ 즉시 조치

• 즉시 Next.js 업그레이드
• 아웃바운드 트래픽 제한
• 메타데이터 엔드포인트 차단 (169.254.169.254)
• 악의적인 업그레이드 헤더 필터링
• 원시 next start를 직접 노출하지 않기

🔥 악의적인 요청 예시

GET ws://169.254.169.254/ HTTP/1.1
Host: 169.254.169.254
Upgrade: websocket
Connection: Upgrade

🧪 탐지 아이디어

grep -i "upgrade: websocket" access.log

grep "169.254.169.254" access.log

다음 항목 모니터링:

• 예상치 못한 아웃바운드 요청
• 내부 IP 대상 지정
• 의심스러운 WebSocket 업그레이드
• 메타데이터 서비스 접근 시도

🔧 권장 리버스 프록시 보호

NGINX 예시

if ($http_upgrade = "websocket") {
    return 403;
}

📚 참고 자료

🚀 즉시 업그레이드

악용 전에 내부 인프라 보호