| 类别 | 详情 |
|---|
| CVE | CVE-2025-55182 |
| 漏洞类型 | 远程代码执行 (RCE) |
| 受影响技术 | React Server Components |
| 严重程度 | 严重 |
| CVSS 评分 | 10.0 |
| 是否需要认证 | 否 |
| 漏洞类别 | 不安全的反序列化 |
React Server Components 允许组件在服务器端而非浏览器中渲染。
客户端与服务器之间的通信通过 Flight 协议 使用序列化消息进行。序列化将对象转换为可传输的格式，而反序列化则在服务器端重建这些对象。
当未经充分验证的不可信序列化输入被处理时，就会产生安全风险。
不安全的反序列化可能允许攻击者操纵序列化对象，从而有可能影响应用程序行为或执行非预期代码。
本项目分析的根本原因是 反序列化过程中的验证不足。
当 Flight 协议处理序列化对象时，JavaScript 对象会被动态重建。攻击者控制的属性可能通过原型污染或方法覆盖等技术影响对象行为。
当服务器处理恶意输入时，这可能导致任意函数执行。
从安全编码的角度来看，外部输入应始终被视为不可信数据，并在处理之前根据严格的模式进行验证。
典型的攻击场景包括：
由于该漏洞被分析为无需认证的远程代码执行漏洞，因此可公开访问的易受攻击应用程序可能面临重大风险。
该漏洞是在受控的虚拟实验室环境中进行研究的。
curl实验室环境与公共互联网隔离，以防止对生产系统造成意外影响。
本研究包括一项受控的概念验证演练，旨在确定构造的输入是否能触发命令执行。
记录的测试过程包括：
curl 将输入发送到 React Server Components 端点。在受控实验室测试中记录了成功的命令执行，证明了以服务器进程权限执行任意命令的可能性。
注意： 概念验证严格在隔离的实验室环境中进行，仅用于教育和安全研究目的。
成功利用该漏洞可能会影响全部三项核心安全目标：
可能暴露的内容包括：
潜在攻击者可能能够：
潜在后果包括：
被入侵的 Web 服务器还可能为攻击者提供横向移动进入内部系统的机会。
建议的防御措施包括：
将受影响的框架和依赖项升级到已修复的版本。
根据严格的模式（schema）和预期数据类型验证序列化输入。
避免不必要的动态执行机制，以免加剧恶意输入的影响。
以运行所需的最低权限运行应用程序服务。
监控应用程序活动和服务器日志，以发现可疑行为和非预期的命令执行。
将以下内容集成到软件开发生命周期中：
本研究证明了理解框架内部机制的安全影响以及将所有外部输入视为不可信数据的重要性。
主要经验包括：
本项目是在受控实验室环境中为教育和网络安全研究目的而进行的。
所讨论的技术只应针对您拥有或获得明确授权评估的系统进行测试。
Aisha Jimoh
网络安全专业学生 | 未来的 SOC 分析师