タグ検索の該当結果が少ないため、タイトル検索結果を表示しています。
Lessons from React2Shell
DEV Community Follow A space to discuss and keep up software development and manage your software career Future Follow News and discussion of science and technology such as AI, VR, cryptocurrency, quantum computing, and more. Open Forem Follow A general discussion space for the Forem community. If it doesn't have a home elsewhere, it belongs here
React Server Componentsの脆弱性 CVE-2025-55182（React2Shell）についてまとめてみた。 - piyolog
2025年12月3日、JavaScriptライブラリ Reactを開発するThe React Teamは、React Server Componentsに深刻な脆弱性が確認されたとして脆弱性情報を公開し、修正版への更新を案内しました。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの？ React Server Function のFlightプロトコルにおいて、信頼できないデータのデシリアライズに関する脆弱性 が確認された。この脆弱性は認証不要でリモートから悪用が可能であり、リモートコード実行（RCE） に至る恐れがある。深刻度は 緊急（CVSS 基本値 10.0） と評価されており、開発元は利用者に対して速やかな対応を呼びかけている。 React はエンタープライズ環境を含む幅広いシステムで採用されており、日本国内でも React を用いたシステムを公開しているホストが多数
2025年12月3日に公開されたサーバー側での任意コード実行が可能となるReact及びNext.jsにおける脆弱性CVE-2025-55182。通称react2shell。この脆弱性は単なる実装バグとしては片付けられない、フロントエンド界隈全体に及ぶ議論を巻き起こしました。 結論 RSFで起こった脆弱性はAstro Actionsでは起きないように設計されている。 それ以外にもAstro Actionsはサイトを脆弱にしないための仕組みを持っている。 安全なサイトにするための手段は一つではないし、無数にある。 react2shellはなぜ起こるの？ RSCが有効になっているサーバーに細工されたリクエストを送ることで、サーバー側で攻撃者の指定する任意のコードを実行することができます。具体的にはReactのFlightプロトコルに関数の参照やプロトタイプ汚染などを仕組むことで、認証の有無に関係
React2Shellによって実行されるマルウェアZnDoorについて | セキュリティナレッジ | NTTセキュリティ・ジャパン株式会社
本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 本記事はSOCアナリスト 野村和也が執筆したものです はじめにSOCでは2025年12月から、日本国内においてReact2Shell（CVE-2025-55182）を悪用したインシデントを多数観測しています。それらの多くはコインマイナーなどが実行されていますが、中には未知のマルウェアが実行されるケースも存在します。 私たちは今回発見した未知のマルウェアをZnDoorと名付け、調査を行いました。ZnDoorは少なくとも2023年12月には使用されていた可能性があり、ネットワーク機器の脆弱性悪用事例と関連があると推察されます。 本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 攻撃フロー本攻撃の起点
What? A 10.0 critical severity vulnerablility affecting server-side use of React.js, tracked as CVE-2025-55182 in React.js and CVE-2025-66478 specifically for the Next.js framework. This vulnerability was responsibly disclosed by myself, Lachlan Davidson on 29 November 2025 PT to the Meta team. Initial disclosure and patch release was performed by React and Vercel on 3 December 2025 PT. Update: Pr
「公開から数時間で攻撃開始」― React2Shellが突きつけた、シグネチャ型WAFの限界 - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? Check Point マーケティング 大植です。 12月になって「React2Shell」の脆弱性や、関連した攻撃の報告が相次いでいます。 年末の脆弱性の対策としては、ちょうど4年前の2021年12月、「Log4Shell」が世界中のセキュリティチームを震撼させたことを思い出した人も多いのではないでしょうか。 2025年、Webアプリケーションを取り巻くセキュリティ環境は、かつてないほど厳しい状況にあります。世界中で利用されるフレームワークやライブラリに潜む脆弱性は、公開から数時間で攻撃に悪用されるケースが増加しています。 本記事では
「React2Shell」（CVE-2025-55182）の攻撃観測と感染するマルウェアを解析 | 技術者ブログ | 三井物産セキュアディレクション株式会社
自己紹介 皆様、はじめまして。2025年11月にMBSDに入社した浦田と申します。 この度、ランサムウェアのマンスリーレポートやランサムウェアマップ「変遷図」(知っている人は知っている、例のクリアファイルになっていたりするやつ）を発刊していることでお馴染みの、Cyber Intelligence Group（通称CIGチーム）に参加し、リサーチャーとして活動させていただくことになりました。 また、CIGは「マルウエアの教科書」で知られる吉川さんが率いるチームでもあります。 私は、前職では官公庁で犯罪捜査に関わっており、主にサイバー犯罪の調査研究やデジタルフォレンジックを行っていました。 さらにその前はプログラマーとして開発に携わってきましたが、コードを書くことが好きで、今でも手を動かしている時間がいちばん落ち着きます。 セキュリティ関連では、日々やってくる攻撃情報の収集分析や、マルウェア解
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?
React2Shell (CVE-2025-55182) で気付いた React Server Components のセキュリティの盲点
はじめに 先日、Vercel から「Important Security Update for Next.js 15 & 16」という件名のメールが Gmail に届きました。 リンク先の CVE ページを確認したところ、CVSS スコアが 10.0（Critical） と記載されており、すぐに対応が必要な深刻な問題であることがわかりました。 CVSS スコアとは、脆弱性の深刻度を0.0〜10.0の数値で表す国際的な評価基準です。10.0はこのスケールの最大値であり、「認証なしで、リモートから、容易に、システムを完全に制御される可能性がある」レベルの脆弱性を意味します。過去に10.0を記録した脆弱性としては、2021年の Log4Shell(CVE-2021-44228) などがあり、いずれも業界全体に大きな影響を与えました[1]。 この脆弱性は React Server Componen
はじめに 現在多くのWAFサービスが存在しますが、そのうちのいくつかでは、HTTPリクエストのボディ部について、「先頭○KBしか検査しない(○の部分は、例えば8や16,64,128など)」というかなり注意が必要な仕様で提供されています。今回はこの点について掘り下げていきます。 リクエストボディとパラメータの基本 「ボディ部の先頭」とは具体的にはどのようなことでしょうか。HTTPリクエストのボディ部は、例えば次のようになっています。 param1=AAAAAAAAA¶m2=BBBBBBBB この例ではボディ部に2つのパラメータが含まれています。1つめのパラメータは名前が「param1」で値が「AAAAAAAAA」です。2つめのパラメータは名前が「param2」で値は「BBBBBBBB」です。 ほぼ全てのウェブアプリケーション環境において、このような場合にparam1とparam2の順
React2Shell (CVE-2025-55182): Critical React Vulnerability | Wiz Blog
React2Shell (CVE-2025-55182): Everything You Need to Know About the Critical React VulnerabilityDetect and mitigate React2Shell (CVE-2025-55182), critical RCE vulnerability in React and Next.js exploited in the wild. Organizations should patch urgently. TL;DR: CVE-2025-55182 is a critical unauthenticated RCE vulnerabilities in the React Server Components (RSC) "Flight" protocol. Default configurat
XDR、Agentic SIEM、Agentic SOARで収集した情報から攻撃の端緒を可視化、防止。攻撃者に隠れる余地を与えません。 詳しくはこちら
中国系ハッカー グループがReact Server Componentsの脆弱性 React2Shell(CVE-2025-55182)を即日悪用-AWSが警告|セキュリティニュースのセキュリティ対策Lab
2025年12月4日 React Server Componentsに重大なリモートコード実行（RCE）脆弱性「React2Shell（CVE-2025-55182）」が見つかり、公開から数時間で中国関与のサイバー攻撃グループが一斉に悪用を開始したことが、AWSのセキュリティブログで明らかになりました。 同時に、脆弱なNext.js／Reactアプリケーションを自動診断するオープンソースツール「react2shell-scanner」もGitHubで公開されています。 React2Shell（CVE-2025-55182）の概要 React2Shellは、React Server Componentsに存在する安全でないデシリアライズの欠陥で、CVSSスコアは最大の10.0（Critical）で評価されています。 脆弱性の対象 React 19.x 系の React Server Comp
【kurenaif】Reactで見つかったRCEの脆弱性を解説【CVE-2025-55182】【React2shell】
自己責任でこの動画はご参照ください。 速報で、あまり詳しくないところもあるので間違いがあるかも。 補足やわかったことなどがああればコメント下さい。 Thumb illustrator: https://x.com/x_xtsukix_x X(Twitter): https://x.com/fwarashi 検証環境構築メモ: https://hackmd.io/@kurenaif/ry4T5rezWx exploit: https://github.com/msanft/CVE-2025-55182/blob/main/poc.py Slide: https://speakerdeck.com/kurenaif/cve-2025-55182noyuan-li-woxiang-xi-nijie-shuo references: 発見者のブログ: https://react2shell.
2025年12月3日（現地時間）、React Server Components（RSC）における認証不要のリモートコード実行の脆弱性（CVE-2025-55182）が公開されました。JPCERT/CCでは、この攻撃の被害報告を複数受けています。その中で、本脆弱性を短期間のうちに複数の攻撃アクターに悪用され、Webサイト改ざんなど複数の被害が同時に発生した事案がありました。今回は容易に悪用可能な脆弱性が公表された場合に、攻撃者がいかに迅速かつ無差別に攻撃を行っているかを攻撃のタイムラインや使用されたマルウェアの紹介とあわせて解説します。このような深刻な脆弱性が公開された場合に、どのくらいのスピード感で対策を進めなければならないかという参考になればと思います。 攻撃のタイムライン 表1は今回紹介する事案で判明した攻撃のタイムラインです。（被害組織の特定につながる恐れがあるため、以降の一部のU
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Astroでreact2shellのような脆弱性が起きない理由、そして脆弱にしないために
「React2Shell」脆弱性でWebサイトを改竄して未パッチを注意喚起して回る謎の勢力が観測される／正体や意図は不明【やじうまの杜】
React2Shell (CVE-2025-55182)
「React」に新たな脆弱性 ～「React2Shell」への対策は不十分、最新版への更新を／DoSやサーバー関数のソースコード露出につながる可能性
React2Shellを使用して攻撃してみた - Qiita
React2Shell攻撃で顕在化した、リクエストボディの先頭しか検査しないWAFを回避する攻撃
React2Shell「CVE-2025-55182」の分析、PoCを巡る混乱と悪用の広がり
React2Shellを悪用する複数の攻撃アクターによる侵害事例 - JPCERT/CC Eyes
mala on X: "react2shell、JSONがある言語でデシリアライズ起因のRCEが起きたことを深刻に受け止めるべき。単に実装のバグでRSC自体の思想や設計の問題ではないといった擁護も良く見るが、これが設計ミスや思考のエラーでなくてなんだというのだろう。現実見ろ、理想目指した実験作なら実戦投入するな、目を覚ませ"
kiyopee.com
www.jstage.jst.go.jp
www.sunday-webry.com
ascii.jp
yano-t.net
toyokeizai.net