C21/100
脆弱性 · 中
Next.jsのCookie漏えい修正の対象確認
ティアC · 経過を注視 – 影響を受けるか確認
影響を受ける人： Edge runtimeで認証Cookieを設定するNext.jsアプリ
ティアCの理由： 開発者に影響
影響範囲
攻撃
被害
修正
人気ツール
取るべき対応
- Edge runtimeのルートでNextResponse.cookies.set()を使っているかを確認する
- Next.jsの11月3日のセキュリティ更新を適用しているかを確認する
要点
- Next.jsの11月3日のセキュリティ更新で、Edge runtimeのルートからCookieの値が漏れる問題が修正された
- 認証まわりでNextResponse.cookies.set()を使っているアプリが影響を受ける可能性がある
- 自分のアプリが修正の対象かどうかを確認する必要がある
なぜ重要か
Edge runtimeで認証Cookieを扱うNext.jsアプリでは、Cookieの値が漏れるおそれがあるため、更新の対象かどうかを早めに確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| はい | 開発者に影響 | Next.jsは開発者が業務のWebアプリ開発に使うフレームワークであるため。 |
| いいえ | 基幹インフラ | 単一のフレームワークの問題であり、ほぼすべてのチームが運用する基幹ソフトウェアではないため。 |
| はい | 人気ツール | Next.jsは多くのチームが使う一般的な開発フレームワークであるため。 |
| いいえ | 悪用確認済み | Qiita: 11月3日のセキュリティ更新で修正されたと述べるのみで、悪用の観測には触れていない。 |
| いいえ | 公開エクスプロイト | Qiita: 脆弱性の概要と修正対象の確認方法を述べるのみで、エクスプロイトの公開には触れていない。 |
| いいえ | 認証不要のリモート攻撃 | Qiita: 攻撃条件や認証の要否についての記述がないため。 |
| いいえ | 完全な乗っ取り | Qiita: Edge runtimeのルートからCookieの値が漏れる問題とあり、コード実行や権限奪取の記述はないため。 |
| いいえ | シークレットの流出 | Qiita: Cookieの値が漏れる問題が修正されたと述べるが、実際に持ち出された事例の記述はないため。 |
| いいえ | サプライチェーン | Qiita: 正規のセキュリティ更新で修正された通常の脆弱性であり、悪意あるコードの配布の記述はないため。 |
| いいえ | 修正なし | Qiita: 11月3日のセキュリティ更新で修正されたと明記されているため。 |
タイムライン
Next.jsのセキュリティ更新でEdge runtimeのCookie漏えいが修正される
Securityタグが付けられた新着記事 - Qiita
Next.jsのCookie漏えい修正、自分のアプリが対象か確認する
出典
Next.jsのCookie漏えい修正、自分のアプリが対象か確認する ↗ Securityタグが付けられた新着記事 - Qiita · 2時間前