CVE-2025-55182

📌 CVE-2025-55182 — React2Shell

React Server Components における重大な未認証リモートコード実行（RCE）

📖 概要

CVE-2025-55182（通称 React2Shell）は、React Server Components（RSC）および関連パッケージにおいて、2025年12月3日に公開された重大なリモートコード実行（RCE）脆弱性です。この欠陥により、認証されていない攻撃者が、特別に細工されたHTTPリクエストを送信し、サーバーがそれを不適切にデシリアライズすることで、脆弱なサーバー上で任意のコードを実行できるようになります。 nvd.nist.gov +1

この問題は最高の深刻度スコア（CVSS 10.0 / 9.x）を持ち、国家関連グループや日和見的なマルウェアキャンペーンを含む複数の脅威アクターによって、実際に活発に悪用されています。 Google Cloud +1

🧠 影響を受けるソフトウェア

本脆弱性は、React Server Componentsおよびそれらを組み込んだフレームワークに影響を及ぼします。

⚠️ 説明

React2Shellは、クライアントとサーバーコンポーネント間の通信に使用される React “Flight” プロトコルにおける、信頼できないデータの安全でないデシリアライズに起因します。悪意のあるペイロードが適切な検証なしにデシリアライズされると、内部オブジェクト構造（プロトタイプなど）が操作され、サーバープロセス上で攻撃者が制御するコードが実行される可能性があります。 Tarlogic Security +1

これにより、攻撃者は以下のことが可能になります。

• 認証なしでリモートコード実行（RCE）を達成する。
• Webサーバーの権限でコマンドを実行する。
• バックドア、Webシェル、クリプトマイナーを展開したり、内部ネットワークにピボットしたりする可能性がある。