Next.js, un framework React ampiamente utilizzato, è alla base di milioni di applicazioni in tutto il mondo. Una nuova vulnerabilità divulgata (CVE-2024-51479) rappresenta un grave rischio per la sicurezza delle applicazioni che utilizzano le versioni dalla 9.5.5 alla 14.2.14. Il difetto potrebbe consentire l’accesso non autorizzato a dati sensibili, rendendo fondamentale per gli sviluppatori applicare immediatamente la patch. Inoltre, sono state identificate globalmente oltre 314.786 istanze di applicazioni esposte, il che aumenta l’urgenza di affrontare questa vulnerabilità.

Riassunto tecnico

La vulnerabilità deriva da una verifica insufficiente dei permessi utente durante l’esecuzione del middleware nelle applicazioni Next.js. Quando i controlli di autorizzazione si basano esclusivamente sulla struttura del pathname, gli attaccanti possono aggirare questi controlli per accedere a percorsi riservati dell’applicazione o a pagine sensibili sotto la directory radice.

Le applicazioni interessate possono esporre dati critici, aggirare vincoli della logica aziendale o consentire l’escalation di privilegi se la logica di autorizzazione nel middleware non è solida. Lo sfruttamento di questa falla richiede che gli attaccanti formulino richieste specifiche rivolte a endpoint vulnerabili, rendendola altamente sfruttabile in applicazioni configurate in modo errato.

Dettagli chiave:

Versioni interessate: Next.js 9.5.5 to 14.2.14.
Impatto: Accesso non autorizzato a risorse sensibili.
Sfruttabilità: Gli attaccanti remoti possono accedere a dati riservati senza autenticazione.

Raccomandazioni

1. Aggiornare il framework: aggiornare immediatamente a una versione corretta di Next.js (14.2.15 o successiva) che risolve questa vulnerabilità. Verificare i changelog ufficiali di Next.js per ulteriori dettagli.
2. Valutazione del middleware: eseguire una revisione approfondita di tutta la logica personalizzata nel middleware. Assicurarsi che validi i permessi esplicitamente e in modo sicuro in ogni punto critico.
3. Controlli di accesso: implementare una difesa a più livelli aggiungendo controlli lato server in aggiunta alle validazioni lato client o basate su middleware.