middleware作用#

Middleware是一段在 Request（請求）到達實際頁面或 API Route 之前就會執行的程式碼，常見用處如下:

1. 身分驗證：檢查用戶Cookie、攔截未授權請求
2. 動態修改請求路徑，像是多語言路由或是將舊路徑導向新路徑
3. 安全header設置：添加CSP、CORS等

主要成因#

用戶的請求在middleware會經過身分認證，像是在下面的範例程式碼中，如果通過帳號和密碼的驗證，則會觸發NextResponse.next()將請求向前發送，否則就會從定向回/login

若身分驗證本身也會經過middleware(像是發請求到/login時也會經過middleware)，則會造成無窮迴圈，因此需要機制來遇到重複的middleware時就讓請求向前。而這正是漏洞成因

v12.0.7漏洞原始碼

1
const subreq = params.request.headers[`x-middleware-subrequest`]
2
const subrequests = typeof subreq === 'string' ? subreq.split(':') : []
3

4
if (subrequests.includes(middlewareInfo.name)) {
5
  result = {
6
    response: NextResponse.next(),
7
    waitUntil: Promise.resolve(),
8
  }
9
  continue
10
}

此段用處是防止middleware在子請求(subrequest)中，不斷遞迴呼叫自己，但只要header裡有包含middlewareInfo.name就會直接放行

v15.2.2漏洞原始碼

1
const subreq = params.request.headers[`x-middleware-subrequest`]
2
const subrequests = typeof subreq === 'string' ? subreq.split(':') : []
3

4
const MAX_RECURSION_DEPTH = 5
5
const depth = subrequests.reduce(
6
(acc, curr) => (curr === params.name ? acc + 1 : acc),
7
0
8
)
9

10
if (depth >= MAX_RECURSION_DEPTH) {
11
return {
12
  waitUntil: Promise.resolve(),
13
  response: new runtime.context.Response(null, {
14
    headers: {
15
      'x-middleware-next': '1',
16
    },
17
  }),
18
}
19
}

這段是改良過後，要累積五次才會直接放通行，但基本沒什麼變

middlewareInfo.name在較新版之後不是middleware就是src/middleware，因此只要header裡的x-middleware-subrequest有重複五次的middleware就可以繞過驗證(src/middleware同理)

過程#

將docker啟動後可以經由3000 port連上登入頁面

如果想要請求到/目錄，也就是dashboard則會被從定向回/login

這時加上x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

則可直接繞過驗證，成功進入Admin Dashboard