📖 Использование

Базовый синтаксис

Примеры

🎯 Пострадавшее ПО и исправленные версии

Уязвимость возникает в определенных пакетах React, затрагивая любую платформу, которая их включает.

Не затронуты: Next.js 13.x, стабильные версии Next.js 14.x, приложения Pages Router и Edge Runtime не затронуты.

🔬 Технические детали и эксплуатация

Дефект протокола Flight

Протокол RSC Flight сериализует данные для взаимодействия клиент-сервер. Уязвимость заключается в логике десериализации на сервере, которая небезопасно расширяет свойства объекта из входящей полезной нагрузки без надлежащей проверки. Это позволяет атакующему внедрить вредоносные ключи (например, __proto__ или constructor) в запрос, что приводит к загрязнению прототипов.

После загрязнения цепочки прототипов сервер следует путям выполнения, контролируемым атакующим. Это можно связать в цепочку для выполнения произвольного JavaScript-кода с привилегиями сервера, что приводит к полному удаленному выполнению кода (RCE).

Действия после эксплуатации

Исследователи безопасности наблюдали успешные эксплойты, приводящие к:

• Сбору учетных данных: Попытки выявить и извлечь облачные учетные данные (например, из .aws/credentials).
• Майнингу криптовалют: Развертывание майнеров, таких как XMRig.
• Развертыванию вредоносного ПО: Установка платформ, таких как Sliver C2.

🛡️ Смягчение и реагирование

1. Немедленное обновление (основное решение)

Обновление обязательно и является единственным способом полностью устранить уязвимость. Не существует параметра конфигурации для отключения уязвимого пути кода.

Проверьте, что ваши файлы package-lock.json или yarn.lock отражают исправленные версии пакетов react-server-dom-* (19.0.1, 19.1.2 или 19.2.1).

2. Временные меры защиты (правила WAF)

Пока идет обновление, разверните правила Web Application Firewall (WAF) для блокировки попыток эксплойта:

• AWS WAF: Управляемая группа правил AWSManagedRulesKnownBadInputsRuleSet (v1.24+) включает правила для этого CVE.
• Google Cloud Armor: Доступно предварительно настроенное правило cve-canary.
• Palo Alto Networks: Подписи доступны для таких продуктов, как Snort.

Примечание: Правила WAF — это временное, неполное смягчение. Они не заменяют необходимость обновления.

3. Индикаторы компрометации (IoC)

Проверьте логи на следующие признаки попыток эксплуатации:

• Сеть: POST-запросы с заголовками next-action или rsc-action-id. Тела запросов, содержащие шаблоны $@ или "status":"resolved_model".
• Хост: Неожиданное выполнение команд (whoami, id, uname), чтение /etc/passwd или запись файлов в /tmp/ (например, pwned.txt) процессами Node.js.

⚖️ Правовые, этические аспекты и ответственное раскрытие

Этот инструмент демонстрирует уязвимость с оценкой CVSS 10.0 (максимальная серьезность), которая активно эксплуатируется при поддержке государств.

• Требуется авторизация: Тестирование должно проводиться только в средах, которыми вы владеете и управляете (например, localhost, изолированные лаборатории). Неавторизованное тестирование незаконно.
• Ответственное раскрытие: Если вы обнаружили уязвимую стороннюю систему, не эксплуатируйте ее. Задокументируйте находки и ответственно раскройте их владельцу системы.
• Цель: Этот инструмент предназначен для образования, авторизованного тестирования на проникновение и помощи специалистам по безопасности в понимании угрозы для приоритизации обновлений.

🔗 Ссылки и благодарности

• Официальное уведомление Next.js (CVE-2025-66478)
• Запись NVD для CVE-2025-55182
• Обнаружение: Лахлан Дэвидсон, обнаруживший и ответственно раскрывший уязвимость.
• Данные об угрозах: AWS, Wiz и другие команды, отслеживающие эксплуатацию в дикой природе.

Помните: Этот инструмент демонстрирует, почему обновление срочно необходимо. Используйте эти знания для улучшения безопасности и защиты систем, а не для их компрометации. Убедитесь, что все ваши зависимости обновлены до исправленных версий, перечисленных выше.

АВТОР

TAHA MOUNIR