Next.js Kritik Güvenlik Açıklarını Kapatmak İçin Güncelleme Yayınladı

Next.js, 14 Ekim'de uzaktan kod yürütme (RCE) ve yüksek şiddette hizmet reddi (DoS) açıklarını kapatan bir güvenlik güncellemesi yayınladı. Bu güncelleme, kullanıcı kimliği gerektirmeyen iki kritik açığı düzeltmekte ve mevcut sürümler olan 16.4.1 ve 15.5.28'i kapsamaktadır.

Kritik Açıklar ve Etkileri

Güncellemeyle birlikte, React Server Components'ta bulunan bir kod yürütme açığı ve Next.js'in SVG görüntülerini işlemek için kullandığı librsvg kütüphanesinde yer alan bir bellek hatası düzeltildi. Vercel, bu iki açığı kritik seviyede değerlendirirken, her birinin CVSS puanı 9.5 olarak belirlendi.

İlk açık, React Server Components'ta yer almakta ve yanıtların birden fazla türde diziyi taşıdığı nadir durumları etkiliyor. Bu durum, yalnızca Cache Components özelliğini etkinleştiren 16.0 sürümündeki uygulamalarda ortaya çıkıyor. Vercel, uygulamanızda bu işlev olmasa bile güncelleme yapmanızı öneriyor.

SVG İşleme Hatası

İkinci açık, librsvg kütüphanesinde bulunan bir bellek hatasıdır. Bu hata, Next.js'in paket içerisinde yer alan sharp aracılığıyla SVG görüntülerini işlediği sırada ortaya çıkıyor. Next.js, varsayılan olarak SVG dosyalarını optimize etmemekte ve görüntü optimizasyonu yapmak için "dangerouslyAllowSVG" ayarını etkinleştirmek gerekmektedir. Bu kütüphane, ayrıca sosyal önizleme görüntülerinin oluşturulmasında da kullanılmaktadır.

Hizmet Reddi Sorunu

Üçüncü sorun ise, App Router uygulamalarında tanımlanan en az bir Server Action ile ilgili bir hizmet reddi (DoS) sorunudur. Özel olarak hazırlanmış istekler, bir sunucu işlemini tam CPU kullanımına zorlayarak diğer istekleri işleme almasını engelleyebilir. Pages Router üzerinde çalışan uygulamalar bu durumdan etkilenmemektedir.

Güncelleme önerisi, Next.js 16 kullanıcılarının 16.4.1'e, 15 kullanıcılarının ise 15.5.28'e geçiş yapmalarıdır. Vercel, güncelleme ile birlikte paket yöneticilerinin otomatik olarak düzeltmeleri sağlamasını sağlamaktadır. Ancak, 15.5.28 sürümü, eski ve etkilenen sharp 0.34.x sürümünü kabul edebilmektedir; bu nedenle, sharp'ı 0.35.5 veya daha yeni bir sürüme güncellemek önemlidir.

Geçici Çözüm ve Uyarılar

Eğer hemen güncelleme yapamıyorsanız, image hatası için geçici bir çözüm mevcut: sharp'ın 0.35.5 veya daha yeni bir sürümde olduğundan emin olun veya sharp içerisinde SVG işleme işlemini engelleyin. Ancak, use cache ve Server Actions açıkları için geçici bir çözüm bulunmamaktadır ve yalnızca güncelleme ile kapatılabilir.

Ekim ayının 15'ine kadar, bu açıkların herhangi bir saldırıda kullanıldığına dair kamuya açık bir rapor bulunmamaktadır. Bu durum, güvenlik güncellemelerinin önemini bir kez daha gözler önüne sermektedir.