✅ レポートタイトル：React2Shellの脆弱性分析：CVE-2025-55182
✅ レポートの要約：
- 本レポートでは、React Server Components（RSC）で確認された React2Shell 脆弱性について分析します。
- 当該脆弱性は、Flight プロトコルデータのデシリアライズ処理において入力検証が不十分であることにより発生する、認証不要のリモートコード実行脆弱性です。
📌 脆弱性の原因は何ですか？
- 本脆弱性は、ユーザー入力に対する適切な検証を行わない安全でないデシリアライズ処理により発生します。
- parseModelString および getOutlinedModel 関数は、プロトタイプ関連プロパティの検証を行わずにユーザー入力をデシリアライズします。
- $@ および $ 記号を用いてチャンクを参照することで、Prototype Pollution を引き起こすことが可能です。
- この結果、React アプリケーション内のすべてのオブジェクトのプロトタイプが変更され、最終的にリモートコード実行につながる可能性があります。
parseModelString 関数
getOutlinedModel 関数
📌 本脆弱性はどのように悪用されますか？
- 攻撃者は、React または Next.js を使用するフロントエンドサービスを特定します。
- 攻撃者は、チャンクのプロトタイプを上書きするデータを含むペイロードを生成し、React サーバーに送信します。
- 生成されたペイロードは、脆弱なバージョンの React または Next.js を使用するサービスに送信されます。
- ペイロードがデシリアライズされることで、攻撃者は React または Next.js サーバーの制御を取得できます。
📌 React2Shell 脆弱性の時系列
| 日付 | 内容 |
|---|---|
| 2025.11.29. | Meta に脆弱性を報告 |
| 2025.12.03. | 脆弱性を公開 |
| 2025.12.03. | パッチを配布 |
| 2025.12.04. | PoC／Exploit を公開 |
| 2025.12.06. | CISA KEV により実運用環境での悪用を確認 |
| 2025.12.10. | 北朝鮮関連攻撃グループ UNC5342 による悪用を確認 |
| 2025.12.10. | 中国関連攻撃グループによる悪用を確認 |
| 2025.12.13. | 中国関連攻撃グループ名（UNC6600、UNC6588、UNC6603、UNC6595）を確認 |
| 2025.12.16. | 北朝鮮関連攻撃グループ Lazarus による悪用を確認 |
| 2025.12.18. | Weaxor ランサムウェアによる悪用を確認 |
📌 影響を受けるバージョン
- 19.0 ≤ React < 19.0.1
- 19.1.0 ≤ React < 19.1.2
- 19.2.0 ≤ React < 19.2.1
- Next.js（canary リリース）≥ 14.3.0-canary.77
- 15.0 ≤ Next.js < 15.0.5
- 15.1.0 ≤ Next.js < 15.1.9
- 15.2.0 ≤ Next.js < 15.2.6
- 15.3.0 ≤ Next.js < 15.3.6
- 15.4.0 ≤ Next.js < 15.4.8
- 15.5.0 ≤ Next.js < 15.5.7
- 15.6.0 ≤ Next.js < 15.6.0-canary.58
- 16.0 ≤ Next.js < 16.0.7
✅ 脅威検知の推奨事項と対策方法：
- 脆弱なバージョンの React Server Components を使用している場合、最新の修正済みバージョンへ更新することを推奨します。
- パッチ適用が困難な場合は、該当サービスの一時停止、または外部ネットワークからのアクセス遮断を推奨します。
- 広く利用されているソフトウェアでは、いつでも重大な脆弱性が発見される可能性があるため、潜在的な脅威への備えが必要です。
- 外部に公開されているサービスについて、定期的な資産の把握と管理を行うことを推奨します。
🧑💻 レポート作成者: S2W 「TALON」
👉 レポートに関するお問い合わせ: https://s2w.inc/ja/contact
*当該レポートは、S2Wのプラットフォームにて提供されます。詳細に関してはお問い合わせください。