Kerentanan Kritis Remote Code Execution (RCE) pada Next.js

Kerentanan Kritis Remote Code Execution (RCE) pada Next.js

Ditemukan dua kerentanan kritis pada Next.js yang berpotensi memungkinkan penyerang tanpa autentikasi melakukan Remote Code Execution (RCE) pada server yang menggunakan Image Optimization API. Kerentanan pertama berkaitan dengan path traversal pada server berbasis Windows, sedangkan kerentanan kedua berkaitan dengan pemrosesan gambar berformat AVIF.

Detail & Matriks Risiko Kerentanan

• CVE-2026-75604 (Path Traversal)
• Penyebab: Kelemahan dalam pembatasan jalur (path) pada aplikasi yang menggunakan Pages Router atau App Router tanpa Cache Components. Request yang telah dimanipulasi dapat menyebabkan aplikasi mengakses lokasi di luar direktori yang seharusnya.
• Dampak: Berpotensi menyebabkan akses terhadap data sensitif, perubahan konten pada sisi server, hingga gangguan ketersediaan aplikasi.
• Vektor CVSS v3.1: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
• Kerentanan Pemrosesan AVIF
• Penyebab: Kelemahan pada library libheif yang digunakan oleh Sharp untuk memproses dan mengoptimalkan gambar AVIF.
• Dampak: Penyerang dapat mengirimkan gambar AVIF yang telah dimanipulasi ke endpoint yang rentan dan berpotensi menjalankan kode pada server.
• Vektor CVSS v4.0: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Kedua kerentanan berpotensi berdampak tinggi terhadap kerahasiaan, integritas, dan ketersediaan sistem serta dapat menjadi pintu masuk untuk kompromi lebih lanjut terhadap server.

Versi Terdampak dan Solusi Patching

Langkah Penanganan Utama

1. Segera Upgrade Next.js: Perbarui Next.js ke versi 15.5.24 atau 16.3.3 sesuai dengan versi aplikasi yang digunakan.
2. Update Dependency: Perbarui dependency lockfile untuk memastikan library yang digunakan telah menggunakan versi yang aman.
3. Rebuild Production Workload: Lakukan rebuild container atau production image setelah pembaruan agar seluruh workload aktif menggunakan versi yang telah diperbaiki.
4. Verifikasi Deployment: Pastikan tidak terdapat workload, container, atau aplikasi yang masih menjalankan versi Next.js yang rentan.

Rekomendasi Hardening Tambahan

• Batasi Image Optimization API: Batasi akses publik terhadap Image Optimization API apabila tidak diperlukan.
• Audit Endpoint Upload: Terapkan validasi ketat terhadap jenis, ukuran, dan struktur file yang dapat diunggah ke aplikasi.
• Prioritaskan Server Windows: Lakukan pemeriksaan khusus terhadap aplikasi Next.js yang berjalan pada filesystem Windows.
• Terapkan Least Privilege: Pastikan proses aplikasi Next.js tidak berjalan dengan hak akses Administrator atau hak istimewa yang tidak diperlukan.
• Monitoring Log: Periksa log aplikasi dan web server untuk mendeteksi pola path traversal atau permintaan pemrosesan AVIF yang mencurigakan.

Sumber Referensi

1. GitHub Security Advisory — GHSA-p293-qw3h-jr36
   https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36
2. GitHub Security Advisory — GHSA-2xp9-vwfh-vxw4
   https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4
3. Cyber Security News — Critical Next.js Vulnerabilities Enables Remote Code Execution Attacks
   https://cybersecuritynews.com/