React2Shell

📌 React2Shell (CVE-2025-55182)

React2Shellは、React Server Components (RSC) およびNext.jsなどの関連フレームワークに影響を与える重大なリモートコード実行 (RCE) 脆弱性に付けられた非公式の名称です。その深刻度と潜在的な影響により、Web開発およびセキュリティコミュニティにおいて大きな懸念事項となっています。 react2shell.com +1

🧠 1. React2Shellとは？

名前: React2Shell

CVE ID: CVE-2025-55182 (多くの場合、重複するNext.jsのCVEであるCVE-2025-66478と一緒に議論されます) react2shell.com +1

深刻度: 最大 (CVSSスコア 10.0) react2shell.com

タイプ: サーバーコンポーネントにおける安全でないデシリアライゼーションによるリモートコード実行 (RCE) Microsoft

発見者: 2025年11月下旬にLachlan Davidsonによって開示され、2025年12月上旬に公に発表されました。 Amazon Web Services, Inc.

React2Shellは、Log4Shellなどの過去の重大な脆弱性にちなんで名付けられており、Webアプリケーションへの広範な影響の可能性があるためです。 research.jfrog.com

🧰 2. 影響を受けるシステム

React2Shellは、React Server Components (RSC) およびそれを実装するすべてのエコシステムに影響を与えます。対象は以下を含みます：

React 19.x サーバーコンポーネントパッケージ

react-server-dom-webpack

react-server-dom-parcel

react-server-dom-turbopack

RSC上に構築されたフレームワーク（例）：

Next.js (App Router)

React Router

Waku

Expo

Redwood SDK (RSCの使用方法に依存) Dynatrace +1

⚠️ 3. 危険性

React2Shellを使用すると、攻撃者は特別に細工されたHTTPリクエストをReact Server Componentエンドポイントに送信できます。RSCの「Flight」プロトコルにおける入力検証の欠陥と安全でないデシリアライゼーションにより、悪意のあるデータがデシリアライズされ、認証なしでもサーバー上で完全なリモートコード実行につながる可能性があります。 Microsoft +1

つまり、攻撃者は次のことが可能です：

サーバー上で任意のコードを実行する

データや認証情報を盗む

マルウェアやクリプトマイナーを展開する

ネットワーク内で横方向に移動する （すべてログインなしで） sysdig.com

🛠 4. エクスプロイトの仕組み

中核的な脆弱性は、React Server ComponentsがFlightプロトコルを使用して受信ペイロードをデシリアライズする方法にあります。攻撃者は内部処理ロジックを操作し、通常の信頼チェックをバイパスするペイロードを作成し、ホスト上でのコマンド実行につなげます。 Qualys

脆弱なセットアップを検出するための公開された概念実証 (PoC) エクスプロイトやスキャナーも存在します。 GitHub

🚨 5. 実際の悪用

React2Shellは既に実際の環境で活発に悪用されています：

国家関連グループ（例：中国関連の攻撃者）が、開示直後に脆弱なエンドポイントを標的にしていることが確認されています。 TechRadar

複数のベンダーからの脅威インテリジェンスは、悪用成功後にクリプトマイナー、バックドア、およびポストエクスプロイトツールを展開するキャンペーンを示しています。 Google Cloud

この急速な武器化は、Log4Shellのような注目度の高いバグと類似しており、攻撃者は暴露されたシステムを迅速にスキャンして悪用しました。 PortSwigger

🧩 6. 影響を受けるバージョンと修正リリース 脆弱なバージョン