Lỗi từ chối dịch vụ do tiêu tốn CPU trong Vercel Next.js App Router với Server Actions

Next.js là một React framework để xây dựng các ứng dụng web full-stack. Từ 13.0.0 cho đến 15.5.28 và 16.4.1, các request được tạo thủ công nhắm vào các ứng dụng App Router có ít nhất một Server Action có thể gây tiêu tốn CPU quá mức và chặn việc xử lý các request tiếp theo trong cùng một process. Các ứng dụng sử dụng Pages Router và các ứng dụng App Router không có Server Actions không bị ảnh hưởng. Vấn đề này được khắc phục trong các phiên bản 15.5.28 và 16.4.1.

• Vercel Next.js trong nhánh >= 13.0.0, < 15.5.28 được đánh dấu là bị ảnh hưởng khi ứng dụng dùng App Router và có ít nhất một Server Action. Advisory mô tả phạm vi tương ứng là từ 13.0.0 đến 15.5.27.
• Vercel Next.js trong nhánh >= 16.0.0, < 16.4.1 được đánh dấu là bị ảnh hưởng với cùng điều kiện triển khai. Advisory mô tả phạm vi tương ứng là từ 16.0.0 đến 16.4.0.
• Bản ghi xác định 15.5.28 và 16.4.1 là các phiên bản đã khắc phục cho hai nhánh nêu trên.
• Ứng dụng dùng Pages Router và ứng dụng App Router không có Server Actions được nêu là không bị ảnh hưởng. Trạng thái của các nhánh hoặc biến thể triển khai không được liệt kê vẫn chưa được xác lập.

Vercel Next.js xử lý các request do kẻ tấn công kiểm soát trong những ứng dụng sử dụng App Router và có ít nhất một Server Action. Một request được tạo thủ công có thể làm tiêu tốn CPU quá mức và chặn các request tiếp theo được xử lý trong cùng một process. Đây là lỗi phân bổ tài nguyên không có giới hạn hoặc throttling, được phân loại là CWE-770. Bản ghi xác nhận khả năng truy cập qua mạng, không yêu cầu quyền trước đó hoặc tương tác của người dùng, nhưng không mô tả function, parser, trường request, dạng payload hoặc vòng lặp CPU cụ thể gây ra lỗi. Các ứng dụng dùng Pages Router và các ứng dụng App Router không có Server Actions nằm ngoài phạm vi ảnh hưởng được nêu trong advisory.

Lỗi có thể bị kích hoạt từ xa qua mạng bằng các request được tạo thủ công. Không yêu cầu xác thực hoặc quyền đặc biệt, không yêu cầu người dùng khác tương tác, và độ phức tạp tấn công được đánh giá là thấp. Điều kiện triển khai bắt buộc là ứng dụng phải dùng App Router và có ít nhất một Server Action. Bản ghi không cung cấp endpoint cụ thể, cấu trúc payload hoặc chuỗi request khai thác. Trạng thái khai thác thực tế, public exploit và chiến dịch ransomware không được xác lập trong dữ liệu hiện có.

Tác động kỹ thuật là từ chối dịch vụ do process Next.js tiêu tốn CPU quá mức khi xử lý request được tạo thủ công. Process bị ảnh hưởng có thể không tiếp tục xử lý các request khác trong cùng process, làm mất tính sẵn sàng của dịch vụ đó. Dữ liệu tác động được cung cấp không xác lập ảnh hưởng đến tính bí mật hoặc tính toàn vẹn, cũng không xác lập tác động trực tiếp đến hệ thống kế tiếp. Tuy vậy, việc dịch vụ không phản hồi có thể gây hậu quả vận hành rộng hơn tùy theo cách ứng dụng được triển khai và phân phối traffic.

• Tác động vận hành chính là làm suy giảm hoặc mất khả năng phục vụ của process ứng dụng bị ảnh hưởng.
• Khi process bị chiếm dụng bởi việc tiêu tốn CPU, các request tiếp theo trong cùng process có thể bị trì hoãn hoặc không được xử lý, làm gián đoạn các chức năng được process đó phục vụ.
• Dữ liệu hiện có chỉ xác lập tác động đến tính sẵn sàng, không xác lập việc đọc trái phép hoặc sửa đổi dữ liệu.
• Bản ghi không xác lập một kịch bản xâm phạm dữ liệu, nạn nhân cụ thể hoặc chiến dịch tấn công nào.

1. Với nhánh bị ảnh hưởng >= 13.0.0, < 15.5.28, nâng cấp lên 15.5.28.
2. Với nhánh bị ảnh hưởng >= 16.0.0, < 16.4.1, nâng cấp lên 16.4.1.
3. Advisory nêu rõ không có workaround ngoài việc nâng cấp. Không nên coi việc thay đổi cấu hình ứng dụng là biện pháp khắc phục đã được xác nhận.
4. Kiểm kê toàn bộ service, build artifact, container và process đang chạy để tránh bỏ sót deployment dùng App Router cùng Server Actions. Nếu dựa vào việc dùng Pages Router hoặc không có Server Actions để phân loại là không bị ảnh hưởng, cần xác minh cấu hình thực tế trước khi kết luận.

1. Kiểm kê phiên bản package next trong manifest, lockfile, build artifact, image container và các môi trường đang chạy.
2. Xác định ứng dụng nào dùng App Router và ứng dụng nào có ít nhất một Server Action. Đây là điều kiện cần để phân loại phạm vi phơi nhiễm.
3. Kiểm tra telemetry của process để tìm tình trạng CPU tăng cao bất thường kèm theo việc process không tiếp tục xử lý request. Đây chỉ là dấu hiệu giám sát phòng ngừa, không phải IOC đã được xác nhận.
4. Sau khi cập nhật, kiểm tra lại package thực tế trong artifact và xác nhận process tiếp tục xử lý request bình thường. Không nên coi việc thiếu log lỗi là bằng chứng hệ thống an toàn.