SK-CERT Bezpečnostné varovanie V20251205-01
| Dôležitosť | Kritická |
| Klasifikácia | Neutajované/TLP:CLEAR |
| CVSS Skóre |
10.0 |
| Identifikátor |
| React Server Components a Next.js – kritická bezpečnostná zraniteľnosť |
| Popis |
| React Foundation vydali bezpečnostnú aktualizáciu pre React Server Components (RSC), ktorá opravuje kritickú zraniteľnosť. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-55182, označovaná aj pod aliasom REACT2SHELL, sa nachádza vo funkcii `requireModule` a spočíva v nedostatočnom zabezpečení deserializácie payloadov v rámci React Flight protokolu. Vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených HTTP požiadaviek na Server Function endpointy mohol zneužiť na vzdialené vykonanie JavaScript kódu na serveri. Zraniteľnosť je možné zneužiť na všetkých aplikáciách s podporou RSC, dokonca aj v prípade, že React Server Function endpointy nie sú implementované. Zraniteľnosť bola opravená v rámci NEXT.JS využívajúceho APP ROUTER, kde bola evidovaná pod identifikátorom CVE-2025-66478. NIST následne identifikátor zamietol s odôvodnením, že sa jedná o duplikát CVE-2025-55182. |
| Dátum prvého zverejnenia varovania |
| 4.12.2025 |
| CVE |
| CVE-2025-55182 |
| IOC |
| – |
| Zasiahnuté systémy |
| React vo verzii staršej ako 19.0.1, 19.1.2 a 19.2.1 Next.js vo verzii staršej ako 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 a 16.0.7 |
| Následky |
| Vykonanie škodlivého kódu Úplné narušenie dôvernosti, integrity a dostupnosti systému |
| Odporúčania |
| Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Odporúčame tiež vykonať audit prostredia a dostupných logov za účelom detekcie pokusov o zneužitie zraniteľnosti, ako aj implementáciu zodpovedajúcich WAF pravidiel. |
« Späť na zoznam
