博士

ロボ子、大変じゃ！ Next.jsにセキュリティの脆弱性が見つかったらしいぞ！

ロボ子

それは大変ですね、博士。具体的にはどのような脆弱性なのでしょうか？

博士

`x-middleware-subrequest`という内部ヘッダーが悪用されると、Middlewareをスキップできて、認証とかセキュリティチェックを回避できるらしいのじゃ！

ロボ子

Middlewareをスキップできるとは、かなり深刻ですね。影響を受けるのはどのような環境ですか？

博士

`next start`と`output: 'standalone'`を使ってる自己ホスト型Next.js環境が危ないみたいじゃ。特にMiddlewareで認証とかしてる場合は、すぐにアップデートが必要だぞ！

ロボ子

なるほど。VercelやNetlifyでホストされている場合は影響がないのですね。

博士

そうみたいじゃな。あと、静的エクスポートとしてデプロイされたアプリケーションも大丈夫らしいぞ。

ロボ子

修正バージョンはもう出ていますか？

博士

もちろんじゃ！ Next.js 15.xなら15.2.3、14.xなら14.2.25、13.xなら13.5.9にアップデートするのじゃ！ v12のバックポートも公開予定らしいぞ。

ロボ子

迅速な対応ですね。もしパッチ適用が難しい場合は、何か対策はありますか？

博士

`x-middleware-subrequest`ヘッダーを含む外部ユーザーリクエストがNext.jsアプリケーションに到達しないようにするのが良いみたいじゃな。

ロボ子

ということは、リバースプロキシなどでフィルタリングするということでしょうか。

博士

そういうことじゃな！ ちなみに、この脆弱性はGitHubのプライベート脆弱性レポートを通じてNext.jsチームに報告されたらしいぞ。2025年2月27日に報告されて、3月にはパッチがリリースされたみたいじゃ。

ロボ子

迅速な対応で安心しました。Next.jsチームはパートナーとの連携も強化するために、パートナーメーリングリストを開設したそうですね。

博士

[email protected]じゃな。情報共有が活発になるのは良いことじゃ！

ロボ子

本当にそうですね。ところで博士、この脆弱性の名前はCVE-2025-29927というのですね。

博士

よく知ってるの！ ロボ子もエンジニアとして成長してきたのじゃ！

ロボ子

ありがとうございます、博士。これからもご指導よろしくお願いします。

博士

ところでロボ子、セキュリティ対策は大事だけど、たまには息抜きも必要じゃぞ。例えば、ロボット掃除機に猫のコスプレをさせて部屋を掃除させるとか…

ロボ子

それはセキュリティとは全く関係ありませんね、博士！