Das war's wohl für NextJS... 13 NEUE Sicherheitslücken

하이라이트

• Das neueste Sicherheits-Release von Next.js behebt insgesamt 13 Schwachstellen (CVEs), wovon 6 als hochriskant eingestuft sind.

• Eine einfache Manipulation der URL-Struktur _next/data/[Build-ID]/[Seite].json ermöglicht das Umgehen von Middleware-Schutzmechanismen im Pages Router bei aktiver i18n-Konfiguration.

• Durch das Senden von manipulierten Payloads mit 1000 Pointern und 200.000 Schlüsseln lassen sich 200 Millionen String-Vergleiche erzwingen, die den Server-Thread für mehrere Sekunden blockieren.

• Eine Server-Side Request Forgery (SSRF) Lücke mit einem Schweregrad von 8,6 erlaubt es Angreifern, über den Next.js-Server Anfragen an interne Dienste hinter einer Firewall zu senden.

• Die fehlerhafte Validierung der Dateiendung .rsc bei vorhandenen Query-Strings führt dazu, dass Server-Component-Rohdaten fälschlicherweise als HTML im CDN-Cache gespeichert werden.

• In Skript-Tags mit der Strategie beforeInteractive maskiert JSON.stringify keine HTML-Zeichen, was das Einschleusen und Ausführen von Schadcode über URL-Parameter ermöglicht.

타임라인

1. 00:00 - 00:48

   Übersicht der 13 neuen Sicherheitslücken

   Nach mehreren Vorfällen in diesem Jahr zeigt dieses Release die Instabilität von Server Components auf. Betroffen sind diverse Versionen des Frameworks, während alternative Lösungen wie TanStack konstruktionsbedingt nicht anfällig für diese spezifischen Lücken sind. Das offizielle Sicherheits-Release führt die Korrekturen als beiläufige Fehlerbehebungen auf.

   • Sechs der 13 identifizierten CVEs stellen ein hohes Risiko für Anwendungen dar.
   • Die Schwachstellen umfassen Denial-of-Service, Middleware-Bypasses, SSRF und Cross-Site Scripting.
   • Vercel empfiehlt allen Nutzern die sofortige Aktualisierung auf die gepatchten Next.js-Versionen.
2. 00:48 - 03:39

   Middleware- und Proxy-Bypass im Pages Router

   Durch das Auslesen der Build-ID aus dem Quellcode lässt sich eine spezifische Daten-URL konstruieren, die die Middleware vollständig umgeht. Während Anfragen an lokalisierte Pfade wie /en/secret korrekt zum Login weiterleiten, liefert der direkte Aufruf der JSON-Datei unter /_next/data/ die geschützten Inhalte aus. Dieser Bypass erzielt einen Schweregrad von 7,5 von 10.

   • Aktiviertes i18n im Pages Router schützt den Basispfad einer Route nicht vor direktem Datenzugriff.
   • Sensible Daten in Server-Side Props sind über die JSON-Datenpfade des Next.js-Builds ohne Authentifizierung abrufbar.
   • Der Fehler liegt in einem unvollständigen Matcher, der nur lokalisierte Varianten, aber nicht den Standardpfad erfasst.
3. 03:39 - 07:49

   Denial-of-Service durch React-Flight-Protokoll

   Das Problem entsteht, wenn das Protokoll nach spezifischen Pointern in einer langen Liste von Schlüsseln sucht. Ohne den Cursor-Fix musste der Server für jeden Pointer die gesamte Liste erneut durchlaufen, was bei großen Payloads zu 200 Millionen Vergleichen führte. Die neue Implementierung senkt diesen Aufwand von k * n auf n + k Operationen und verhindert so die Thread-Blockierung.

   • Die Deserialisierung von Server Actions weist eine quadratische Komplexität bei der Verarbeitung von Pointern auf.
   • Ein einzelner manipulierter Request erhöht die Antwortzeit von 0,02 Sekunden auf über sechs Sekunden.
   • Der Fix stellt das System auf eine cursorbasierte Verarbeitung um, was die Operationen massiv reduziert.
4. 07:49 - 09:54

   Kritische SSRF-Lücke und Cache Poisoning

   Die SSRF-Lücke betrifft primär Umgebungen außerhalb von Vercel und erlaubt einfache Anfragen an interne Dienste über den Next.js-Port. Parallel dazu führte ein Fehler bei der Handhabung von Query-Strings dazu, dass Server-Daten fälschlicherweise als HTML-Seiten gecacht wurden. Nutzer erhielten dadurch kryptische Rohdaten anstelle der gerenderten Webseite, weil das System Query-Parameter am Ende der URL nicht korrekt ignorierte.

   • Self-hosted Next.js-Instanzen sind anfällig für Server-Side Request Forgery mit einem Score von 8,6.
   • Angreifer können den Server als Proxy nutzen, um interne Netzwerke und Firewalls zu scannen.
   • Fehlerhafte Prüfungen auf die Dateiendung .rsc ermöglichen das Vergiften von CDN-Caches.
5. 09:54 - 15:51

   Cross-Site Scripting in interaktiven Skripten

   Wenn Daten aus Search-Params direkt in Skript-Attribute fließen, können Angreifer das Skript-Tag vorzeitig schließen und eigenen JavaScript-Code anhängen. Da Next.js diese Inhalte intern über Mechanismen ähnlich wie dangerouslySetInnerHTML verarbeitet, wird der Schadcode direkt im Browser des Opfers ausgeführt. Dies verdeutlicht die Gefahr bei der Verwendung von nicht vertrauenswürdigen Eingaben in Framework-spezifischen Skript-Komponenten.

   • Die Strategie beforeInteractive in Kombination mit unsicheren Eingabequellen ermöglicht XSS-Angriffe.
   • JSON.stringify maskiert keine schließenden HTML-Tags, was den Abbruch des ursprünglichen Skript-Blocks erlaubt.
   • Angreifer können über manipulierte URL-Parameter Session-Cookies stehlen oder Fake-Formulare einblenden.