Отчет о CVE-2025-29927

Обзор

CVE-2025-29927 — это уязвимость безопасности в middleware Next.js, позволяющая злоумышленникам обходить аутентификацию путем изменения определенных HTTP-заголовков.

Эксплуатация

Злоумышленники могут отправить запрос с заголовком x-middleware-subrequest: middleware, чтобы обойти аутентификацию.

Обнаружение

Стратегии обнаружения включают:

• Мониторинг HTTP-заголовков на предмет подозрительных значений x-middleware-subrequest.
• Внедрение правил Sigma для обнаружения несанкционированных запросов.
• Включение журналирования действий middleware в приложениях Next.js.

Смягчение

• Обновитесь до последней исправленной версии Next.js.
• Внедрите строгую проверку заголовков запросов.
• Обеспечьте аутентификацию на уровне API, а не полагайтесь только на middleware.

Ссылки

• Подробности о CVE

Можно ли использовать правило Sigma для обнаружения CVE-2025-29927? ✅ Да, но только если среда журналирования корректно записывает HTTP-заголовки. Если веб-сервер (например, Apache, Nginx) регистрирует заголовок x-middleware-subrequest, правило Sigma успешно обнаружит атаку.

🚨 Нет, если журналы не содержат этого заголовка. Если веб-сервер не записывает HTTP-заголовки в журналы, правило Sigma не обнаружит эксплуатацию, даже если правило написано правильно.

📌 Рекомендация: Убедитесь, что ваша конфигурация журналирования включает полные HTTP-заголовки, прежде чем полагаться на правила Sigma для обнаружения.