Next.js の認証バイパス脆弱性を検知・緩和する

CVE-2025‑29927 は、Next.js の認証バイパスにおける脆弱性です。Next.js は、Web サイトの読み込み時間を短縮し、SEO の価値を高めるために広く使用されているオープンソースの React フレームワークです。この脆弱性は 2025 年 3 月 21 日に公開され、9.1 CVSS という非常に深刻な評価が割り当てられました。悪用された場合、攻撃者は内部使用のみを目的としたヘッダーをスプーフィングすることで、ミドルウェアベースのセキュリティチェックを回避できてしまいます。

Next.js は、リクエストの処理中に無限ループを回避するためにヘッダーを使用します。しかし、その値はミドルウェアファイルのパスから予測可能なため、攻撃者が容易に模倣する可能性があります。 攻撃者は、HTTP リクエストに正しいヘッダー値を含めることでアプリケーションを騙し、認証と認可のチェックをスキップさせ、保護されたリソースにアクセスできるようになります。

Next.js は、着信する HTTP リクエストがメインアプリケーションのロジックに到達する前に処理する方法としてミドルウェアを使用します。ミドルウェアは通常、認証、認可、およびセキュリティヘッダーの設定などの重要なタスクを実行します。このフレームワークは、「x‑middleware‑subrequest」と呼ばれる内部ヘッダーを使用して、これらのプロセスや内部リクエストフローを管理し、リクエスト処理中の無限再帰などの問題を防いでいます。

問題の核心は、「x‑middleware‑subrequest」ヘッダーの不適切な検証にあります。このヘッダーは内部使用のみを目的としていますが、その値は予測可能で、多くの場合、ミドルウェアファイルの場所や名前に基づくものです。その結果、 攻撃者は、このリクエストヘッダーを模倣する単純なリクエストを作成し、システムを騙し、リクエストを内部リクエストとして処理させることで、重要なチェックをバイパスします。

ミドルウェアがバイパスされると、アプリケーションは通常のセキュリティルーチン（ID や役割の検証など）を実行しないため、アプリケーションの機密性の高い部分や制限された部分への不正アクセスにつながる可能性があります。この脆弱性が特に危険なのは、すべての条件が満たされると、事前認証が行われずに悪用される可能性がある点です。

CVE-2025-2927 は、Next.js の複数のバージョンに影響を与えます。攻撃方法はバージョンによって若干異なりますが、問題の核心は一貫しています。古いバージョンでは、 _middleware という値を含む、巧妙に細工されたリクエストヘッダーを悪用した攻撃ですが、新しいバージョンでは、更新されたミドルウェアファイル構造と命名規則に添って名づけられた middleware または src/middleware が悪用されます。

この脆弱性は、Next.js バージョン 14.2.25 および 15.2.3 では修正されていますが、バージョン 14.2.25 以前（14.x の場合）およびバージョン 15.2.3（15.x の場合）、バージョン 11.1.4～13.5.6 を 実行中のサーバー では、 脆弱性がすべて解消していない可能性があります。

2025 年 3 月 24 日、Akamai の脅威リサーチチームは、CVE を検出する Adaptive Security Engine Rapid Rule も展開しました（図 3）。

• 3000958 — Next.js ミドルウェア認証バイパス（CVE-2025-2927）

Rapid Rule のバージョン 1 では、デフォルトアクションが Alertに設定されています。攻撃の試行をブロックするには、トリガーを確認してフォールス・ポジティブ（誤検出）を排除した後で、このルールアクションを Deny に設定します。

ただし、私たちは、ミドルウェア名を値として合法的にこのヘッダーを使用しているお客様がいることを確認しています。 このため、このルールアクションを Deny に変更する際は、さらに詳しい分析を実施したり追加の条件を適用したりしないことをお勧めします。