Next.js RCE घटना प्रतिक्रिया — CVE-2025-55182

प्रकार: लाइव उत्पादन घटना प्रतिक्रिया
भेद्यता: CVE-2025-55182 — React सर्वर घटक असुरक्षित डिसीरियलाइज़ेशन (RCE)
प्रभावित सिस्टम: Next.js फ्रंटएंड + रिमोट उत्पादन सर्वर
भूमिका: साइबर सुरक्षा इंटर्न — SenseLive Technologies
तिथि: 24–26 फरवरी, 2026

---

क्या हुआ

एक समन्वित हमले ने फ्रंटएंड एप्लिकेशन और रिमोट उत्पादन सर्वर दोनों को लक्षित किया। हमले ने CVE-2025-55182 का शोषण किया, जो React सर्वर घटकों (RSC) फ्लाइट प्रोटोकॉल में एक महत्वपूर्ण अप्रमाणित RCE भेद्यता है, जिसके परिणामस्वरूप:

• फ्रंटएंड पर दुर्भावनापूर्ण स्क्रिप्ट इंजेक्शन और अनधिकृत रीडायरेक्ट
• सर्वर पर अनधिकृत प्रक्रियाएं और फ़ाइलसिस्टम संशोधन
• शोषण के बाद क्रेडेंशियल संग्रह का प्रयास

---

मेरे प्रतिक्रिया कार्य

फ्रंटएंड

• समझौता किए गए संपत्तियों के लिए पूर्ण बिल्ड पाइपलाइन का ऑडिट किया
• दुर्भावनापूर्ण इंजेक्शन हटाए और सत्यापित स्वच्छ शाखा से पुनः तैनात किया
• CVE-2025-55182 को कम करने के लिए Next.js को 15.x/16.x में पैच किया

सर्वर

• अनधिकृत सक्रिय सत्र और पृष्ठभूमि प्रक्रियाओं को समाप्त किया
• SSH प्रशासनिक क्रेडेंशियल घुमाए
• स्थायित्व स्थानों को स्कैन किया: /tmp, /var/www, क्रोन जॉब्स
• बैकडोर और वेब शेल की जाँच की

घटना के बाद

• CTO को प्रस्तुत औपचारिक घटना-पश्चात रिपोर्ट लिखी
• सभी पर्यावरण चर, DB स्ट्रिंग्स और तीसरे पक्ष के API कुंजियों के लिए गुप्त रोटेशन की सिफारिश की
• 24 घंटे की उच्च-अलर्ट निगरानी विंडो शुरू की
• पूर्ण मूल कारण विश्लेषण (RCA) का प्रस्ताव रखा

---

CVE-2025-55182 — तकनीकी सारांश

गुण	विवरण
CVE ID	CVE-2025-55182
घटक	React सर्वर घटक — RSC फ्लाइट प्रोटोकॉल
हमले का प्रकार	असुरक्षित डिसीरियलाइज़ेशन → अप्रमाणित RCE
प्रमाणीकरण आवश्यक	कोई नहीं
हमले की जटिलता	कम — एकल निर्मित HTTP अनुरोध
डिफ़ॉल्ट कॉन्फ़िगरेशन असुरक्षित	हाँ
शोषण के बाद	क्लाउड क्रेडेंशियल संग्रह, क्रिप्टो माइनिंग
प्रभावित दायरा	खोज के समय ~39% क्लाउड वातावरण

मूल कारण: हमलावर-नियंत्रित डेटा RSC पेलोड डिसीरियलाइज़ेशन तर्क के माध्यम से सर्वर-साइड निष्पादन को प्रभावित करता है। असुरक्षित होने के लिए डेवलपर कोड परिवर्तन की आवश्यकता नहीं है — मानक create-next-app उत्पादन बिल्ड प्रभावित होते हैं।

---

मुख्य निष्कर्ष

1. डिफ़ॉल्ट फ्रेमवर्क कॉन्फ़िगरेशन सुरक्षित कॉन्फ़िगरेशन नहीं हैं
2. स्क्रिप्ट इंजेक्शन + सर्वर समझौता एक साथ आना एक समन्वित, स्वचालित शोषण अभियान का संकेत देता है
3. समझौते के बाद क्रेडेंशियल रोटेशन को अनिवार्य माना जाना चाहिए, वैकल्पिक नहीं
4. सुधार के बाद निगरानी विंडो स्वयं सुधार जितनी ही महत्वपूर्ण हैं

---

जिम्मेदार प्रकटीकरण नोट

यह रिपोर्ट SenseLive Technologies से अधिकार के साथ स्वच्छ रूप में प्रकाशित की गई है। जिम्मेदार प्रकटीकरण प्रथाओं के अनुरूप विशिष्ट शोषण पेलोड विवरण रोके गए हैं। सभी प्रतिक्रिया कार्य एक सक्रिय इंटर्नशिप के दौरान SenseLive Technologies के स्वामित्व वाले सिस्टम पर किए गए।

---

प्रदर्शित कौशल

Incident Response CVE Analysis RCE Next.js Security React Server Components Script Injection SSH Hardening Credential Rotation Post-Incident Reporting Server Forensics Persistence Mechanism Detection Responsible Disclosure