LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in React und Next.js ermöglicht es Angreifern, ohne Authentifizierung Code auf Servern auszuführen. Diese Schwachstelle, bekannt als ‘React2Shell’, betrifft die ‘Flight’-Protokollimplementierung der React Server Components und wurde mit einer Höchstbewertung von 10/10 eingestuft.
Eine kritische Sicherheitslücke in den React Server Components (RSC) und dem Next.js-Framework sorgt derzeit für Aufsehen in der Entwicklergemeinde. Die als ‘React2Shell’ bezeichnete Schwachstelle ermöglicht es Angreifern, ohne Authentifizierung Code auf betroffenen Servern auszuführen. Diese Sicherheitslücke, die durch unsichere Deserialisierung verursacht wird, hat eine maximale Schwerebewertung von 10/10 erhalten und betrifft sowohl React als auch Next.js.
Entdeckt wurde die Schwachstelle von dem Sicherheitsforscher Lachlan Davidson, der sie am 29. November an das React-Team meldete. Davidson fand heraus, dass ein Angreifer durch das Senden einer speziell gestalteten HTTP-Anfrage an React Server Function-Endpunkte Remote Code Execution (RCE) erreichen kann. Auch wenn eine Anwendung keine React Server Function-Endpunkte implementiert, kann sie dennoch anfällig sein, wenn sie React Server Components unterstützt.
Besonders betroffen sind die Pakete react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack in ihrer Standardkonfiguration. React, eine von Meta gepflegte Open-Source-JavaScript-Bibliothek, wird von vielen Organisationen für die Frontend-Webentwicklung genutzt. Next.js, ein von Vercel entwickeltes Framework, das auf React aufbaut, bietet serverseitiges Rendering, Routing und API-Endpunkte.
Die Schwachstelle betrifft React in den Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0 sowie experimentelle Canary-Releases von Next.js ab Version 14.3.0-canary.77 und alle 15.x und 16.x-Versionen unterhalb der gepatchten Versionen. Die Schwachstelle existiert im ‘react-server’-Paket, das von den React Server Components genutzt wird, und wird von Next.js durch die Implementierung des RSC ‘Flight’-Protokolls geerbt.
Wiz, eine Cloud-Sicherheitsplattform, warnt, dass die Schwachstelle in der Standardkonfiguration der betroffenen Pakete leicht ausnutzbar ist. Laut Wiz enthalten 39 % aller Cloud-Umgebungen, in denen sie Einblick haben, Instanzen von Next.js oder React, die anfällige Versionen verwenden. Auch andere Bibliotheken, die React Server implementieren, wie das Vite RSC-Plugin, das Parcel RSC-Plugin, die React Router RSC-Vorschau, RedwoodSDK und Waku, könnten betroffen sein.
Endor Labs, ein Unternehmen für Software-Supply-Chain-Sicherheit, erklärt, dass React2Shell eine logisch unsichere Deserialisierungsschwachstelle ist, bei der der Server die Struktur der eingehenden RSC-Nutzlasten nicht ordnungsgemäß validiert. Bei der Verarbeitung der fehlerhaften Daten des Angreifers kommt es zu einem Validierungsfehler, der zur Ausführung privilegierten JavaScript-Codes im Kontext des Servers führt.
Davidson hat eine React2Shell-Website erstellt, auf der er technische Details veröffentlichen wird. Er warnt auch vor gefälschten Proof-of-Concept-Exploits, die nicht echt sind. Diese PoCs rufen Funktionen wie vm#runInThisContext, child_process#exec und fs#writeFile auf, aber ein echter Exploit benötigt dies nicht, so Davidson. Entwickler werden dringend aufgefordert, die verfügbaren Patches in React-Versionen 19.0.1, 19.1.2 und 19.2.1 sowie in Next.js-Versionen 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 und 16.0.7 anzuwenden.
Organisationen sollten ihre Umgebungen überprüfen, um festzustellen, ob sie eine anfällige Version verwenden, und geeignete Maßnahmen ergreifen, um das Risiko zu mindern. Die Popularität der beiden Lösungen spiegelt sich in der Anzahl der wöchentlichen Downloads wider: React verzeichnet 55,8 Millionen Downloads auf dem Node Package Manager (NPM), während Next.js 16,7 Millionen Downloads auf derselben Plattform hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kritische Sicherheitslücke in React und Next.js entdeckt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kritische Sicherheitslücke in React und Next.js entdeckt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kritische Sicherheitslücke in React und Next.js entdeckt« bei Google Deutschland suchen, bei Bing oder Google News!