脆弱性CVE-2025-29927ついてのお知らせ
タレスDIS社(旧Imperva社)より、WAF(旧SecureSphere)機器ご利用のお客様へ、
ゼロデイ脆弱性情報(CVE-2025-29927)のお知らせがございます。
Next.jsの緊急度の高い脆弱性が公開されました。CVSSスコアは9.1/10となります。
タレスDIS社側脅威調査グローバル セキュリティ アナリスト チームより、本脆弱性を調査し本脆弱性を利用した攻撃の影響を
軽減するためのグローバルなルールの導入を試みましたが、正当なリクエストと悪意のあるリクエストを区別することは非常に困難であることが判明しました。
x-middleware-subrequestヘッダー(ヘッダ名称)に対してブロック ルールをグローバルに適用するのではなく、必要に応じて特定のサイト/エンドポイントでルールを作成できるように、脅威調査チームが以下の手順を提供しています。
シグネチャ作成手順:
1.MXへGUIログインし、Main>Setup>Signaturesへ移動します。2.+アイコンを押下し、"Create Manual Dictionary"を選択します。
3.ポップアップ画面より下記パラメータを入力します。
Enter Name: シグネチャを収容するディクショナリの名称を入力します。
Description: 作成するディクショナリの説明を入力します。※任意
Disctionary Type: Webを選択します。
4.上記手順3で作成したディクショナリを画面左側My Dictionariesより選択し、画面中央+アイコンをクリックします。
5.ポップアップ画面より、下記パラメータを入力し"Create"を押下します。
Signature Name: CVE-2025-29927: next.js middleware- Authorization Bypass
Signature: part="x-middleware-subrequest",rgxp="x-middleware-subrequest:\s?[\s\S]{0,15}middleware"
Protocols(Selected:): HTTP and HTTPS
Search Signature in(Selected:): Headers
セキュリティポリシー作成手順:
1.MXへGUIログインし、Main>Polies>Securityへ移動します。2.画面中央＋アイコンをクリックし、Web Serviceを押下します。
3.ポップアップ画面より、下記パラメータを入力します。
Name: ポリシー名称を入力します。
From Scratch: 選択します。
Type: HTTP Protocol Signaturesを選択します
4.Policy Rulesタブより+アイコンをクリックします。
5.Dictionary Nameより、上記シグネチャ作成手順3で作成したディクショナリの名称を選択します。 Enabled: チェックを入れます。
Severity: High,Medium,Low,Informativeより選択します。
Action: Noneを選択します
5.ApplyToタブを選択し、保護されたいWebサーバのIPが設定されたサーバグループ(HTTPサービスグループ)へチェックを入れます。
6.画面右上Saveボタンを押下します。
ご注意
誤検知防止のため、上記手順にて作成した(作成手順5)セキュリティポリシーアクションを「None」に設定いただき、作成し有効設定のセキュリティポリシーで生成されたアラートを監視する期間を設けていただきたく存じます。発生したアラートをGUI(Main>Monitor>Alert)よりご確認いただき、
誤検知がないことが確実になった場合にのみ、アクションを「Block」に設定することを推奨いたします。
緩和手順設定対象機器:
On premise WAF(旧SecureSphere)すべて
On premiseWAF(旧SecureSphere)への影響:
On premise WAF(旧SecureSphere)は脆弱性対象Next.jsを含まないため、
本CVE-2025-29927の影響を受けません。
CVE-2025-29927脆弱性情報:
Next.jsの影響バージョン等詳細は下記外部サイトをご参照ください。
・https://nextjs.org/blog/cve-2025-29927
・ttps://github.com/advisories/GHSA-f82v-jwr5-mffw
お知らせ(外部メーカサイト):
Imperva Community:
https://community.imperva.com/blogs/muly-levy/2025/03/26/important-update-regarding-cve-2025
