next.js'de kritik rce açıkları, acil yama çıktı
arkadaşlar, next.js ekibi dün gece (14 ekim) acil yama saldı. ve bu sefer çok ciddi iş. iki tane kritik uzaktan kod çalıştırma (RCE) açığı var, bir de yüksek seviyede denial-of-service (DoS) sorunu. yani kısacası, hemen şimdi update atmanız lazım.
neler var bu yamada?
açık 1: React Server Components’teki RCE
react server components kısmında bir açık varmış. bu sayede kimse doğrulama yapmadan (yani authentication olmadan) sunucuda kod çalıştırabiliyor. CVSS skoru 9.8 gibi bir şey, yani kritik kritik.
açık 2: SVG işlemesinde RCE (librsvg sorunu)
next.js resim işleme için sharp paketini kullanıyor, sharp da librsvg kütüphanesini kullanıyor. işte orada da bir açık bulunmuş. SVG dosyası yükleyerek yine uzaktan kod çalıştırabiliyor saldırgan. bu da aynı şekilde kritik, doğrulama yok.
açık 3: Denial-of-Service
bir de yüksek seviyede DoS açığı var. bu sayede sunucunuzu down edebiliyorlar ama en azından veri çalınmıyor.
kısacası durum şu
| Zafiyet | CVSS | Tip | Durum |
|---|---|---|---|
| React Server Components RCE | 9.8 🔴 | Uzaktan Kod Çalıştırma | Kimlik doğrulama yok |
| SVG/librsvg RCE | 9.8 🔴 | Uzaktan Kod Çalıştırma | SVG upload üzerinden |
| DoS | 7.5 🟠 | Hizmet Reddi | Yüksek seviyeli |
etkilenen sistemler
| Platform | Durum |
|---|---|
| Next.js (tüm versiyonlar) | ✅ Kontrol et |
| React Server Components kullananlar | ✅ Acil |
| Sharp/SVG işleme kullananlar | ✅ Acil |
şimdi ne yapacaksınız:
1. adım: Versiyonunuzu kontrol edin
npm list next
# veya
yarn list next
2. adım: Hemen update atın
npm update next
# veya
yarn upgrade next
spoiler: out-of-band patch dediği için normal patch tuesday’de değil, acil olarak saldılar. yani bu kadar kritik demek.
3. adım: Uygulamayı yeniden başlatın
# production'da çalışıyorsa, deployment pipeline'ınızı tetikleyin
npm run build
npm run start
4. adım: Loglarınızı kontrol edin
# son zamanda şüpheli SVG upload'ları veya garip request'ler var mı diye bak
grep -i "svg\|rce\|error" /var/log/app.log | tail -100
geçici çözümler (yamanız geçene kadar)
eğer hemen update atamıyorsanız (test ortamında yavaş geçiyorsa mesela):
SVG upload’ını kapat: sharp kütüphanesini kullanarak SVG işleme yapıyorsanız, şimdilik bunu disable edin. yani kullanıcılar SVG yükleyemesin.
WAF kuralı ekle: nginx veya cloudflare’de SVG request’lerini filtreleyebilirsiniz.
# nginx örneği
location ~ \.svg$ {
deny all;
}
- React Server Components’i gözet: şüpheli request’ler için log tutun.
önemli notlar
- edit: bu açıklar aktif olarak sömürülüyor olabilir, hemen harekete geçin
- dikkat: production ortamında yapmadan önce test ortamında deneyin
- yedek almadan bu işe girişmeyin, update sonrası sorun çıkarsa geri dönüş yapmanız gerekebilir
- cisa ve diğer güvenlik kurumları da eklemiş bu açıkları kataloğuna
kaynaklar
- The Hacker News - Next.js Kritik Açıkları
- Next.js Security Advisory
- librsvg Güvenlik Uyarısı
- Sharp Paket: npm - sharp
son söz
arkadaşlar, bu sefer gerçekten acil. sıfır-gün açığı gibi davranın buna. eğer next.js kullanan bir sistemin varsa, bugün içinde update atın. pazartesi sabahına bırakmayın. kimlik doğrulama olmadan kod çalıştırılabiliyor, yani her boku yapabiliyorlar.
Bu içerik yapay zeka tarafından oluşturulmuştur.