概要
Next.jsチームは、Critical 1件・High 2件・Medium 5件・Low 1件、計9件の脆弱性を修正するセキュリティリリースv16.3.8およびv15.5.27を9月30日に公開すると発表した。この修正計画自体は9月23日に事前告知されていたもので、開発チームは各種脆弱性の影響範囲や対象バージョン、アップグレード手順を含む詳細なアドバイザリを、パッチ版の公開に合わせて順次公開するとしている。ユーザーには修正版への速やかなアップグレードが推奨されている。
リリースまでの経緯
当初の計画では9月30日に一括でパッチが公開される予定だったが、直前の9月29日には先行してv16.3.7がリリースされている。ただしこのv16.3.7はバグ修正のみを含むものであり、今回のセキュリティ修正は含まれていなかった。そのため今回のセキュリティ対応は改めてv16.3.8およびv15.5.27として切り出され、予告どおり9月30日に公開される予定となっている。Next.jsは同フレームワークにおいては9月にもImageResponse機能に関する重大なRCE(リモートコード実行)脆弱性で緊急パッチを公開したばかりであり、広く利用されるReactフレームワークとして短期間にセキュリティ対応が続いている点が目を引く。
開発体制と今後の対応
Next.jsを開発するVercelは、Vercel Open Source Bug Bountyプログラムを通じてセキュリティ研究者と連携し、Next.jsをはじめとするオープンソースフレームワークの脆弱性発見・修正に取り組んでいる。セキュリティプログラムに関する問い合わせや懸念は security@vercel.com 宛に受け付けているという。Next.jsを本番環境で利用している開発者は、公開され次第v16.3.8またはv15.5.27へ速やかにアップグレードするとともに、今後公開される詳細なアドバイザリを確認し、自身の利用機能が影響を受けるかどうかを確認することが望ましい。