Campanha massiva de roubo de credenciais em Next.js explora vulnerabilidade CVE-2025-55182

Uma operação sofisticada e disseminada de roubo de credenciais está explorando uma vulnerabilidade específica no popular framework React Next.js, colocando em risco imediato a infraestrutura em nuvem e dados sensíveis de centenas de organizações. A campanha, que permanece ativa, aproveita uma falha de configuração e divulgação de informação catalogada como CVE-2025-55182 para saquear segredos de ambiente de implantações protegidas inadequadamente.

Análise Técnica da Exploração

O cerne do ataque explora como o Next.js lida com variáveis de ambiente e informações de depuração em certos cenários de implantação. Em versões e configurações afetadas, os endpoints de desenvolvimento ou depuração do framework, que às vezes são inadvertidamente expostos em builds de produção, podem ser acessados sem autenticação. Esses endpoints podem vazar o conteúdo de process.env ou outros objetos de configuração de tempo de execução.

Os atacantes estão varrendo a internet em busca de aplicativos Next.js com esses endpoints acessíveis. Ao encontrar um alvo vulnerável, eles enviam requisições HTTP manipuladas para caminhos como /_next/static/development/_ssgManifest.js ou sondam rotas de depuração. Uma exploração bem-sucedida retorna um payload JSON contendo todas as variáveis de ambiente do aplicativo. Isso frequentemente inclui segredos altamente sensíveis, como:

• AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY para acesso a recursos na nuvem.
• Strings DATABASE_URL contendo nomes de usuário, senhas e hostnames para instâncias de PostgreSQL, MySQL ou MongoDB.
• GITHUB_TOKEN ou segredos similares de CI/CD para acessar repositórios privados.
• STRIPE_SECRET_KEY e outras chaves de API de processamento de pagamentos.
• Chaves de API internas, salts de criptografia e segredos JWT.

Pesquisadores confirmaram o comprometimento de pelo menos 766 hosts distintos, mas acredita-se que a escala real seja maior, com novas vítimas sendo identificadas diariamente. Os atacantes operam bots automatizados que realizam a reconhecimento inicial, a exfiltração e então alimentam as credenciais roubadas em sistemas secundários para validação e exploração.

A Cadeia de Ataque e o Risco em Escala

O roubo dessas credenciais não é o objetivo final, mas o início de uma cadeia de ataque potencialmente devastadora. Chaves da AWS roubadas são usadas para levantar operações de mineração de criptomoedas, acessar buckets S3 sensíveis ou implantar mais malware dentro do ambiente de nuvem de uma organização. Credenciais de banco de dados levam à exfiltração direta de dados do usuário (PII), que são então vendidos em fóruns da dark web. Tokens do GitHub permitem que atacantes injetem código malicioso em repositórios de software, criando um ataque à cadeia de suprimentos de software. Chaves do Stripe permitem transações fraudulentas e roubo financeiro direto.

Esta campanha exemplifica uma mudança no foco dos atacantes: de vulnerabilidades tradicionais de camada de aplicação (como injeção SQL) para a exploração de más configurações específicas do framework e a exposição inadequada de segredos operacionais. Ela mira a 'encanação' dos aplicativos web modernos – a infraestrutura cloud-native e as ferramentas DevOps que os alimentam.

Mitigação e Ações Imediatas

Equipes de segurança que usam Next.js devem tomar ações urgentes:

1. Auditoria de Versão e Configuração: Verifique imediatamente se você não está executando uma versão ou configuração vulnerável. Certifique-se de que todos os recursos de desenvolvimento e depuração (NODE_ENV=development) estejam estritamente desabilitados em ambientes de produção. Bloqueie explicitamente o acesso público a rotas internas do Next.js (/_next/, /__nextjs_*) via web application firewalls (WAF) ou middleware, a menos que seja absolutamente necessário.
2. Rotação de Credenciais: Assuma o comprometimento. Rotacione cada segredo que poderia ter sido exposto em suas variáveis de ambiente. Isso inclui todas as chaves de provedores de nuvem, senhas de banco de dados, tokens de API e chaves de criptografia. Trate isso como um procedimento crítico de resposta a incidentes.
3. Segurança do Ambiente: Adote uma solução de gerenciamento de segredos (por exemplo, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault). Nunca codifique segredos em variáveis de ambiente nem os comite no controle de versão. Use esses serviços para injetar segredos com segurança em tempo de execução.
4. Monitoramento de Rede: Implemente monitoramento rigoroso para atividade anômala de API em nuvem, especialmente de novas regiões de IP ou usando chaves IAM recém-criadas. Monitore logs de acesso ao banco de dados para conexões de fontes não familiares.
5. Aplicar Patches: Siga os advisories de segurança do Next.js e aplique todos os patches recomendados. Os mantenedores do framework lançaram orientações sobre como proteger variáveis de ambiente e desabilitar o vazamento de informações de depuração.

Implicações Mais Amplas para DevSecOps

Este incidente serve como um alerta contundente para a comunidade DevSecOps. A velocidade e automação do desenvolvimento e implantação modernos (CI/CD) às vezes podem superar as considerações de segurança. A 'segurança por padrão' deve ser um princípio central para desenvolvedores de frameworks, enquanto as equipes operacionais precisam integrar a varredura de segurança para exposição de segredos em seus pipelines de implantação. Avaliações regulares de superfície de ataque externa e varredura automatizada para esse tipo de má configuração específica do framework são agora componentes essenciais de uma postura robusta de segurança em nuvem.

A campanha CVE-2025-55182 é um alerta, demonstrando que na era da nuvem, uma chave de API exposta pode ser tão catastrófica quanto uma falha de execução remota de código. Proteger os segredos de tempo de execução do aplicativo é tão crítico quanto proteger seu código.