Haavatavus Reacti serverikomponentides, mis võimaldab koodi täitmist serveris

Web-raamistikus React (RSC, React Server Components) on kõrvaldatud haavatavus (CVE-2025-55182), mis võimaldas serveri töötleja kaudu saatmise kaudu täita serveris juhuslikku koodi. Haavatusele on määratud kriitiline ohutase (10/10). Haavatavus ilmneb eksperimentaalsetes komponentides react-server-dom-webpack, react-server-dom-parcel ja react-server-dom-turbopack, mida kasutatakse funktsioonide täitmiseks ja kasutajaliideseelementide genereerimiseks serveris, mitte kliendipoolselt.

Probleem on põhjustatud ebaturvalisest andmete deserialiseerimisest, mis saadakse HTTP-päringutest serveri töötlejatele. Töötlejat „vm#runInThisContext“, „vm#runInNewContext“, „child_process#execFileSync“ ja „child_process#execSync“ saab kasutada süsteemis käskude käitamiseks või JavaScripti koodi täitmiseks hetkel käimasolevas protsessis (kinnitades sandbox-i isoleerimise). Samuti on võimalik kasutada töötlejat „fs#readFileSync“ ja „fs#writeFileSync“ juhuslike failide lugemiseks ja kirjutamiseks. serveril, kuidas praegused ligipääsu õigused lubavad. Rünnaku jaoks ei ole vaja autentimist. Eksploitatsiooni prototüüp on saadaval. # Käivita käsk whoami curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}’ # JavaScripti koodi täitmine 1+1 curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={"id":"vm#runInThisContext","bound":["1+1"]}’ # Faili lugemine /etc/passwd curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}’

Süsteemide haavatavus sõltub haavatavate serveri komponentide, nagu react-server-dom-webpack, react-server-dom-parcel ja react-server-dom-turbopack, kasutamisest. Rakendused, mis ei kasuta react-serverit, ei ole haavatavust alt vedanud. Haavatavuse ulatus nendes töö süsteemides, kus Reacti kasutatakse, ei ole veel selge. Ühest küljest on React üks populaarsemaid veebiraamistikud (kasutatakse umbes 6% veebisaitidest) ning haavatavad komponendid arendatakse peamiselt põhirepositooriumis ja sisalduvad avaldustes. Haavatavaid komponente toetatakse ka Reacti põhistel raamistikudel, nagu Next.js ja react-router. Wiz Researchi andmetel tuvastati haavatavad näidised 39% analüüsitud pilvekeskkondadest.

Teisest küljest genereeritakse sisu serveris läbi React Server Komponendid on harva kasutatav funktsioon (enamik Reacti saite renderdavad liidest ainult kliendi poolel), samas kui haavatavad komponendid on märgitud eksperimentaalsetena ja ei taga korrektset toimimist. Nendel komponentidel on suhteliselt väike otse NPM-i hoidlast allalaadimise arv: react-server-dom-webpack — 670 tuhat nädalas, react-server-dom-parcel — 7 tuhat ja react-server-dom-turbopack — 32 tuhat, võrreldes NPM-paketi React'iga, millel on 45 miljonit allalaadimist nädalas.

Haavatavus esineb versioonides React 9.0.0, 19.1.0, 19.1.1 ja 19.2.0 ning on kõrvaldatud värskendustes React 19.0.1, 19.1.2 ja 19.2.1. Haavatavad komponendid on samuti kasutuses paketides Next.js (16 miljonit allalaadimist nädalas), react-router (20 miljonit allalaadimist nädalas), waku, @parcel/rsc, @vitejs/plugin-rsc ja rwsdk.

Next.js raamistikus haavatavus (CVE-2025-66478) mõjutab rakendusi, mis kasutavad App Routerit ja Next.js versioone 15.x ja 16.x. Väidetavalt avaldub haavatavus Next.js vaikimisi konfiguratsioonis (tavarakendus, mille loob utiliit create-next-app, on rünnaku alti). Kasutajatele soovitatakse võimalikult kiiresti paigaldada värskendus Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 või 16.0.7.

Allikas: opennet.ru