aisha-jimoh/cve-2025-55182-react2shell-analysisReact2Shell (CVE-2025-55182) का तकनीकी विश्लेषण, जिसमें भेद्यता की कार्यप्रणाली, मूल कारण, नियंत्रित PoC परीक्षण, प्रभाव और शमन रणनीतियाँ शामिल हैं।
यह परियोजना CVE-2025-55182 (React2Shell) का तकनीकी विश्लेषण प्रस्तुत करती है, जो React Server Components को प्रभावित करने वाली एक गंभीर रिमोट कोड निष्पादन भेद्यता है।
इस शोध का उद्देश्य भेद्यता को समझना, इसके अंतर्निहित कारण का विश्लेषण करना, नियंत्रित प्रयोगशाला वातावरण में समस्या को पुनः उत्पन्न करना और उचित शमन रणनीतियों की जाँच करना था।
यह परियोजना भेद्यता को आक्रामक और रक्षात्मक दोनों सुरक्षा दृष्टिकोणों से देखती है।
| श्रेणी | विवरण |
|---|
| CVE | CVE-2025-55182 |
| भेद्यता | रिमोट कोड निष्पादन (RCE) |
| प्रभावित तकनीक | React Server Components |
| गंभीरता | क्रिटिकल |
| CVSS स्कोर | 10.0 |
| प्रमाणीकरण आवश्यक | नहीं |
| भेद्यता वर्ग | असुरक्षित डिसीरियलाइज़ेशन |
React Server Components ब्राउज़र के बजाय सर्वर पर घटकों को रेंडर करने की अनुमति देते हैं।
क्लाइंट और सर्वर के बीच संचार Flight प्रोटोकॉल के माध्यम से सीरियलाइज़्ड संदेशों का उपयोग करता है। सीरियलाइज़ेशन वस्तुओं को स्थानांतरण योग्य प्रारूपों में परिवर्तित करता है, जबकि डिसीरियलाइज़ेशन उन वस्तुओं को सर्वर पर पुनर्निर्मित करता है।
सुरक्षा जोखिम तब उत्पन्न होता है जब अविश्वसनीय सीरियलाइज़्ड इनपुट को पर्याप्त सत्यापन के बिना संसाधित किया जाता है।
असुरक्षित डिसीरियलाइज़ेशन हमलावरों को सीरियलाइज़्ड वस्तुओं में हेरफेर करने और संभावित रूप से एप्लिकेशन व्यवहार को प्रभावित करने या अनपेक्षित कोड निष्पादित करने की अनुमति दे सकता है।
इस परियोजना में विश्लेषित मूल कारण डिसीरियलाइज़ेशन के दौरान अपर्याप्त सत्यापन है।
जब Flight प्रोटोकॉल सीरियलाइज़्ड वस्तुओं को संसाधित करता है, तो JavaScript वस्तुएँ गतिशील रूप से पुनर्निर्मित की जाती हैं। हमलावर-नियंत्रित प्रॉपर्टी प्रोटोटाइप प्रदूषण या मेथड ओवरराइडिंग जैसी तकनीकों के माध्यम से वस्तु व्यवहार को संभावित रूप से प्रभावित कर सकती हैं।
इसके परिणामस्वरूप सर्वर द्वारा दुर्भावनापूर्ण इनपुट संसाधित होने पर मनमाना फ़ंक्शन निष्पादन हो सकता है।
सुरक्षित कोडिंग परिप्रेक्ष्य से, बाहरी इनपुट को हमेशा अविश्वसनीय डेटा माना जाना चाहिए और प्रसंस्करण से पहले सख्त स्कीमा के विरुद्ध सत्यापित किया जाना चाहिए।
एक विशिष्ट हमला परिदृश्य में निम्न शामिल है:
चूँकि भेद्यता का विश्लेषण बिना प्रमाणीकरण के रिमोट कोड निष्पादन के रूप में किया गया था, सार्वजनिक रूप से सुलभ भेद्य एप्लिकेशन महत्वपूर्ण जोखिम का सामना कर सकते हैं।
भेद्यता का अध्ययन नियंत्रित आभासी प्रयोगशाला वातावरण में किया गया।
curlप्रयोगशाला वातावरण को उत्पादन प्रणालियों पर अनपेक्षित प्रभाव को रोकने के लिए सार्वजनिक इंटरनेट से पृथक रखा गया था।
शोध में एक नियंत्रित प्रूफ-ऑफ-कॉन्सेप्ट अभ्यास शामिल था, जिसे यह निर्धारित करने के लिए डिज़ाइन किया गया था कि क्या तैयार किया गया इनपुट कमांड निष्पादन को ट्रिगर कर सकता है।
प्रलेखित परीक्षण प्रक्रिया में निम्न शामिल था:
curl का उपयोग करके React Server Components एंडपॉइंट पर इनपुट भेजना।नियंत्रित प्रयोगशाला परीक्षण के दौरान एक सफल कमांड निष्पादन प्रलेखित किया गया, जो सर्वर प्रक्रिया के विशेषाधिकारों के साथ मनमाना कमांड निष्पादन की क्षमता प्रदर्शित करता है।
नोट: प्रूफ ऑफ कॉन्सेप्ट पूर्णतः एक पृथक प्रयोगशाला वातावरण में शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए किया गया था।
सफल शोषण तीनों मुख्य सुरक्षा उद्देश्यों को प्रभावित कर सकता है:
संभावित जोखिम:
संभावित हमलावर निम्न कर सकते हैं:
संभावित परिणामों में निम्न शामिल हैं:
एक समझौता किया गया वेब सर्वर हमलावर को आंतरिक प्रणालियों में पार्श्विक रूप से स्थानांतरित होने का अवसर भी प्रदान कर सकता है।
अनुशंसित रक्षात्मक उपायों में निम्न शामिल हैं:
प्रभावित फ्रेमवर्क और निर्भरताओं को स्थिर संस्करणों में अपग्रेड करें।
सीरियलाइज़्ड इनपुट को सख्त स्कीमा और अपेक्षित डेटा प्रकारों के विरुद्ध सत्यापित करें।
अनावश्यक गतिशील निष्पादन तंत्रों से बचें जो दुर्भावनापूर्ण इनपुट के प्रभाव को बढ़ा सकते हैं।
एप्लिकेशन सेवाओं को उनके संचालन के लिए आवश्यक न्यूनतम विशेषाधिकारों के साथ चलाएँ।
संदिग्ध व्यवहार और अनपेक्षित कमांड निष्पादन के लिए एप्लिकेशन गतिविधि और सर्वर लॉग की निगरानी करें।
निम्न को एकीकृत करें:
सॉफ़्टवेयर विकास जीवनचक्र में।
इस शोध ने फ्रेमवर्क आंतरिक तंत्रों के सुरक्षा निहितार्थों को समझने और सभी बाहरी इनपुट को अविश्वसनीय मानने के महत्व को प्रदर्शित किया।
मुख्य सबक में निम्न शामिल हैं:
यह परियोजना नियंत्रित प्रयोगशाला वातावरण में शैक्षिक और साइबर सुरक्षा अनुसंधान उद्देश्यों के लिए की गई थी।
चर्चा की गई तकनीकों का परीक्षण केवल उन प्रणालियों के विरुद्ध किया जाना चाहिए जो आपके स्वामित्व में हैं या जिनका मूल्यांकन करने के लिए आपके पास स्पष्ट प्राधिकरण है।
Aisha Jimoh
साइबर सुरक्षा छात्र | महत्वाकांक्षी SOC विश्लेषक