JA EN
shiichan

まさかの新種 RCE に一撃ブロック！Cloudflare WAF が Nuxt と Fastjson を守るようになったよ！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！今日は Cloudflare のセキュリティまわりの発表を見つけて、思わず前のめりになっちゃったよ。新しく見つかった RCE の脆弱性を、WAF がバシッと防いでくれるようになったの！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、2026-07-29 付けで WAF マネージドルールセットの更新が載ったよ。今回のリリースでは、Nuxt の Server Island コンポーネントの脆弱性と、Alibaba Fastjson のデシリアライズ処理の脆弱性を狙う通信を検知する新しいルールが追加されたの。あわせて、クラウドのメタデータを狙う SSRF(Server-Side Request Forgery)や、難読化されたコマンドインジェクションの検知も強化されたんだって。

とくに注目したいポイントはこの 3 つだよ。

  • Nuxt Server Island - RCE(GHSA-9473-5f9j-94wq): 認証なしで悪用できる脆弱性。エンドポイントに任意のコンポーネント名やプロパティを渡すことで、サーバー側でリモートコード実行ができてしまうの
  • Alibaba Fastjson JSONType Remote Code Execution: Fastjson 1.2.83 以下が対象の認証なし RCE。デフォルト設定のままでも任意のシステムコマンドを実行でき、従来のクラスパスやガジェットベースの防御を回避できてしまうんだって
  • SSRF・コマンドインジェクションの汎用対策: クラウドでホストされたアプリを狙う SSRF の検知ロジックが改善され、リクエストパラメータ全体を狙う難読化コマンドインジェクションの新ルールも追加されたよ

今までどうだったの？

実は SSRF - Cloud - Beta ルールは、これまで Log(記録するだけ)というアクションだったの。怪しい通信があってもログに残るだけで、自動ではブロックされていなかったんだよ。Command Injection - Obfuscation のような難読化パターンを専門に見るルールも、これまでは用意されていなかったみたい。Nuxt Server Island と Fastjson の RCE は比較的新しく見つかった脆弱性だから、マネージドルールセットにはまだ専用の検知ルールが無かったの。

これで何が変わるの？

今回のアップデートで、危険な通信の扱いがガラッと変わったよ。

  • SSRF - Cloud - Beta は Log から Block に変更。怪しい SSRF 通信は記録されるだけじゃなく、その場でブロックされるようになったの
  • Command Injection - Obfuscation、Alibaba Fastjson JSONType Remote Code Execution - Body、Nuxt Server Island - RCE は新規ルールとして追加され、最初から Block 設定になっているよ
  • Generic Rules - RCE / Generic Rules - XSS / File Upload - RCE という汎用ルールも新しく追加されて、こちらも Block 設定
  • しかもうれしいのは、この汎用ルール 3 つが Cloudflare Managed Ruleset だけじゃなく Cloudflare Free Ruleset にも入っていること。無料プランのユーザーも、この最低限の保護をすぐに受けられるようになったんだよ

Cloudflare で Web アプリを守っているチームなら、設定を変えなくてもこれらのルールは自動的に適用されるの。とくに Nuxt や Fastjson を使っているバックエンドを持っているなら、今回のアップデートはかなり心強いはず。

深く潜ってみよう

新しく追加・変更されたルールを、もう少し詳しく整理してみるね。

Cloudflare Managed Ruleset の変更点:

  • SSRF - Cloud - Beta(ルール ID 末尾 c2e84e2d): Log → Block。検出ロジックが改善された既存ルール
  • Command Injection - Obfuscation(ルール ID 末尾 761e7a4c): Log → Block。新規の検知ルール
  • Alibaba Fastjson JSONType Remote Code Execution - Body(ルール ID 末尾 7347c892): Log → Block。新規の検知ルール
  • Nuxt Server Island - RCE(ルール ID 末尾 8ec012ea): N/A → Block。新規ルールで、これまでは Generic Rules - RCE の中に含まれていたものが独立したみたい
  • Generic Rules - RCE(ルール ID 末尾 3590a4ad): N/A → Block。新規ルール
  • Generic Rules - XSS(ルール ID 末尾 9c6dff1c): N/A → Block。新規ルール
  • File Upload - RCE(ルール ID 末尾 3a5b40d6): N/A → Block。新規ルール

Cloudflare Free Ruleset に追加されたルール:

  • Generic Rules - RCE(ルール ID 末尾 cfe1a93c): N/A → Block
  • Generic Rules - XSS(ルール ID 末尾 9ab5ed95): N/A → Block
  • File Upload - RCE(ルール ID 末尾 1b7f9c67): N/A → Block

Fastjson の脆弱性については、原文でこう説明されているよ。

Under default configurations, attackers can execute arbitrary system commands, bypassing traditional classpath and gadget-based defenses.

デフォルト設定のままでも、クラスパス制限やガジェットチェーンのブロックといった従来の防御策を回避されてしまうということだから、Fastjson 1.2.83 以下を使っているシステムはバージョンの見直しも検討したいところだね。Nuxt Server Island の方も、コンポーネント名やプロパティをそのままサーバー側の処理に渡してしまう設計が悪用されるパターンだから、Server Island を使っている Nuxt アプリは要チェックだよ。

まとめ

  • Nuxt Server Island - RCE(GHSA-9473-5f9j-94wq)と Alibaba Fastjson JSONType RCE(1.2.83 以下)を狙う通信をブロックする新ルールが追加された
  • SSRF - Cloud - Beta ルールが Log から Block にアップグレードされ、実際にブロックされるようになった
  • 難読化されたコマンドインジェクションを検知する新ルールも追加された
  • Generic Rules - RCE / XSS、File Upload - RCE の汎用ルールは、Free ルールセットのユーザーにも適用される

Cloudflare で Web アプリやサーバーサイド API を運用しているエンジニア、とくに Nuxt や Fastjson を使っているチームには見逃せないアップデートだよ！

関連記事