React2Shell (CVE-2025-55182): критическая RCE в серверном React
Компаниям и администраторам безопасности следует обратить пристальное внимание на уязвимость React2Shell (CVE-2025-55182) — RCE-уязвимость серверных компонентов React и сопутствующих фреймворков, включая Next.js. Её оценили в CVSS 10.0, что по шкале делает проблему максимально критичной: злоумышленник может выполнить произвольный код на уязвимом сервере всего одним вредоносным HTTP-запросом.
Кратко о проблеме
React2Shell затрагивает серверную часть экосистемы React, которая широко используется в корпоративных веб-приложениях. По телеметрии Microsoft Defender десятки тысяч устройств в разных организациях запускают React или приложения на его основе, что увеличивает масштаб потенциального ущерба.
Особая опасность заключается в простоте эксплуатации: один специально сформированный HTTP-запрос может привести к выполнению кода на сервере. В средах с контейнерами степень воздействия на хост-систему будет зависеть от настроек безопасности контейнеров.
«CVE-2025-55182 (React2Shell) получила оценку CVSS 10.0, что делает её крайне опасной для тех систем, где используются серверные компоненты React.»
Кого касается риск
- Организации, использующие React и серверные приложения на его основе.
- Проекты и сервисы на базе Next.js и других серверных реализаций React.
- Среды с контейнерами — impact зависит от конфигурации безопасности контейнера и привилегий.
- Облачные развёртывания (Azure, AWS, GCP), где уязвимости RCE могут привести к распространению атаки внутри инфраструктуры.
Действия Microsoft и инструменты обнаружения
Microsoft оперативно обновила свои продукты безопасности для борьбы с эксплуатацией уязвимости:
- Microsoft Defender (для конечных устройств) получил улучшенные механизмы обнаружения по всем ОС и оповещения о действиях, связанных с атакой.
- Механизм автоматического прерывания атак теперь предназначен для блокировки попыток эксплуатации в реальном времени.
- Microsoft Defender for Cloud обновлён для поддержки обнаружения через agentless-сканирование контейнеров и облачных виртуальных машин.
- Пользователи Microsoft Defender XDR получают доступ к отчётам threat analytics с информацией о поведении злоумышленников и рекомендациями по реагированию.
- Microsoft Security Exposure Management выполняет автоматический анализ путей атак (attack path analysis), выявляя незащищённые ресурсы и потенциальные маршруты перемещения злоумышленников в облачной среде.
Рекомендации по защите и реагированию
- Немедленно проверить наличие обновлений и сигнатур в Microsoft Defender и включить релевантные правила обнаружения.
- Запустить сканирование контейнеров и VM с помощью Microsoft Defender for Cloud (agentless), а также проанализировать конфигурации контейнеров на предмет избыточных привилегий.
- Использовать отчёты Microsoft Defender XDR и threat analytics для понимания техник злоумышленников и настройки мониторинга.
- Провести attack path analysis в Microsoft Security Exposure Management, чтобы определить критические пути распространения и минимизировать их.
- Приоритизировать патчинг и ограничения прав на хостах и в контейнерах; применить принципы least privilege для сервисных аккаунтов и контейнеров.
- Подготовить план реагирования: изоляция затронутых инстансов, сбор телеметрии, форензика и восстановление из резервных копий.
Заключение
React2Shell (CVE-2025-55182) представляет серьёзную угрозу из‑за высокой распространённости React в корпоративных приложениях и возможности удалённого выполнения кода простым HTTP-запросом. Комбинация обновлённых возможностей обнаружения в Microsoft Defender, агентless-сканирования в Defender for Cloud, аналитики в Defender XDR и анализа путей атак в Microsoft Security Exposure Management даёт организациям инструменты для обнаружения, предотвращения и реагирования. Тем не менее ключевым остаётся оперативный патчинг, надёжная конфигурация контейнеров и внедрение мер по ограничению привилегий.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
