Hotdry.

Article

React Server Components漏洞链：从源码泄露到DoS攻击的完整攻击路径分析

深入分析React Server Components安全漏洞链的演变路径，揭示源码泄露如何为shell攻击提供情报，以及一行恶意请求触发系统级拒绝服务攻击的底层机制。

2025-12-12application-security

引言：React Server Components 安全漏洞的演变路径

2025 年 12 月，React 生态系统经历了一场安全风暴。继 12 月 3 日披露的 CVE-2025-55182（React2Shell）远程代码执行漏洞后，安全研究人员在尝试绕过补丁时，又发现了两个新的攻击向量：CVE-2025-55184/67779（拒绝服务攻击）和 CVE-2025-55183（源代码泄露）。这一系列漏洞揭示了一个完整的攻击链，从信息收集到系统瘫痪，为攻击者提供了完整的入侵路径。

React 官方在 12 月 11 日的公告中明确指出：“这些新漏洞是在尝试利用上周关键漏洞的补丁时发现的。” 这句话背后隐藏着一个重要事实：安全补丁往往会暴露相邻的攻击面。正如 React 团队在公告中提到的，这与 Log4Shell 事件后的模式相似 —— 关键漏洞的修复往往会引发对周边代码路径的深度审查。

攻击链分析：从源码泄露到潜在 shell 攻击的演变路径

源码泄露（CVE-2025-55183）作为攻击起点

源码泄露漏洞（CVSS 5.3）表面上看似危害有限，但在攻击链中扮演着关键的情报收集角色。攻击者通过发送特制的 HTTP 请求到易受攻击的 Server Function，可以获取该函数的完整源代码。

'use server';
export async function serverFunction(name) {
  const conn = db.createConnection('SECRET_KEY'); // 硬编码密钥暴露
  const user = await conn.createUser(name);
  return {
    id: user.id,
    message: `Hello, ${name}!`
  }
}

如 React 官方示例所示，攻击者获取的响应中会包含类似以下内容：

1:{"id":"tva1sfodwq","message":"Hello, async function(a){console.log(\"serverFunction\");let b=i.createConnection(\"SECRET_KEY\");return{id:(await b.createUser(a)).id,message:`Hello, ${a}!`}}!"}

攻击情报价值分析：

  1. 硬编码密钥暴露：数据库连接字符串、API 密钥、加密密钥等敏感信息
  2. 业务逻辑洞察：了解系统如何处理用户输入、数据验证逻辑
  3. 依赖关系映射：识别内部函数调用链和外部服务依赖
  4. 架构弱点识别：发现潜在的逻辑缺陷和安全边界

从信息收集到 shell 攻击的过渡

源码泄露为后续攻击提供了关键信息。攻击者可以利用获取的源代码分析：

  1. 环境配置信息：数据库连接字符串格式、API 端点模式
  2. 依赖注入模式：识别依赖注入容器配置，寻找注入点
  3. 输入验证弱点：分析参数处理逻辑，寻找绕过方法
  4. 内部 API 结构：了解内部函数调用关系，为横向移动做准备

Wiz.io 的技术分析报告显示，在 React2Shell（CVE-2025-55182）的实际利用中，攻击者获取 shell 后执行的第一批命令通常包括：

  • whoami、id：确认当前用户权限
  • env、printenv：获取环境变量中的敏感信息
  • cat /proc/self/environ：容器环境信息收集
  • curl http://169.254.169.254/latest/meta-data/：云平台元数据服务访问

源码泄露漏洞虽不直接导致远程代码执行，但为这些后续攻击提供了宝贵的情报支持。

DoS 攻击底层机制：一行命令触发系统级瘫痪

拒绝服务攻击（CVE-2025-55184/67779）技术细节

React 官方描述 DoS 漏洞为：“恶意 HTTP 请求被发送到任何 Server Functions 端点时，当被 React 反序列化时，可能导致无限循环，挂起服务器进程并消耗 CPU。”CVSS 评分为 7.5（高危）。

攻击机制深度分析：

  1. 反序列化漏洞触发点：

    • 攻击者构造特定的 Flight 协议 payload
    • payload 包含精心设计的对象引用结构
    • React 的反序列化逻辑在处理这些引用时进入无限循环

  2. Next.js 环境下的放大效应：

    • Next.js 默认启用 Server Components 支持
    • 自动暴露next-action端点
    • 每个请求都可能触发多个 Server Function 调用
    • 单次恶意请求可导致整个 Node.js 进程挂起

  3. 资源耗尽模式：

    • CPU 占用率迅速达到 100%
    • 内存使用持续增长
    • 事件循环被阻塞，无法处理其他请求
    • 需要手动重启服务才能恢复

攻击 payload 构造原理

根据安全研究人员的分析，攻击 payload 通常包含以下特征：

  1. 循环引用结构：对象 A 引用对象 B，对象 B 又引用对象 A
  2. 深度嵌套：多层嵌套的对象结构，超过正常业务逻辑深度
  3. 特殊 Flight 标记：如"$@"标记的恶意序列化数据
  4. 类型混淆攻击：利用 JavaScript 弱类型特性，传递非预期数据类型

攻击者可以通过单行 curl 命令触发攻击：

curl -X POST https://target.com/api/action \
  -H "Content-Type: multipart/form-data" \
  -H "next-action: 1" \
  --data-binary @malicious_payload.bin

防御策略与可落地监控参数

紧急修复措施

版本升级要求：

  • 从任何 19.x 版本升级到 19.0.3、19.1.4 或 19.2.3
  • 重要提示：19.0.2、19.1.3、19.2.2 版本仍然易受攻击
  • 必须验证实际安装的版本，而非仅检查 package.json 声明

影响范围验证清单：

  1. 检查是否使用以下任一包：
    • react-server-dom-webpack
    • react-server-dom-parcel
    • react-server-dom-turbopack
  2. 确认版本在 19.0.0 至 19.2.2 之间
  3. 检查依赖框架：Next.js、React Router、Waku 等

运行时监控参数配置

CPU 监控阈值：

  • 设置 CPU 使用率超过 85% 持续 30 秒的警报
  • 监控单个进程 CPU 占用超过 95% 的情况
  • 建立进程重启频率基线（正常应接近 0）

内存监控配置：

  • Node.js 进程内存超过 1.5GB 触发警告
  • 内存使用率每分钟增长超过 100MB 视为异常
  • 监控内存泄漏模式：持续增长不释放

请求流量分析：

  • 监控异常请求模式：大量相同端点的快速请求
  • 检测异常 content-type：非标准 multipart/form-data 格式
  • 分析请求 payload 大小：超过正常业务逻辑的 payload

WAF 规则配置建议

针对 React Server Components 攻击的特征，建议配置以下 WAF 规则：

  1. Flight 协议标记检测：

    Rule: Block requests containing "$@" in request body
Priority: High
Action: Block and log

  2. Next-action 头部限制：

    Rule: Validate next-action header format
Condition: Must be numeric or UUID format
Invalid pattern: Block request

  3. 请求深度限制：

    Rule: Limit JSON nesting depth
Max depth: 10 levels
Exceed action: Reject with 400

  4. 循环引用检测：

    Rule: Detect circular references in JSON
Method: Parse and validate object structure
Detection: Flag for manual review

代码安全实践改进

  1. 硬编码密钥消除：

    • 使用环境变量或密钥管理服务
    • 实施密钥轮换策略
    • 定期扫描代码库中的硬编码凭证

  2. Server Function 安全设计：

    • 最小化暴露的 Server Function 数量
    • 实施严格的输入验证和类型检查
    • 避免在 Server Function 中处理敏感逻辑

  3. 反序列化安全加固：

    • 实现自定义反序列化逻辑
    • 添加深度限制和大小限制
    • 实施白名单验证机制

结论：现代前端架构的安全挑战

React Server Components 漏洞链揭示了现代前端架构面临的新安全挑战。随着前端承担更多服务器端逻辑，攻击面也从传统的客户端扩展到了服务器端。这一系列漏洞的演变路径 —— 从远程代码执行到拒绝服务攻击再到源代码泄露 —— 展示了攻击者如何利用一个漏洞发现更多攻击向量。

关键洞察：

  1. 补丁暴露攻击面：安全修复往往会暴露相邻的脆弱代码路径，需要实施防御性编程
  2. 信息泄露的价值：源代码泄露虽不直接导致 RCE，但为后续攻击提供关键情报
  3. DoS 攻击的简易性：一行恶意请求即可导致系统瘫痪，凸显输入验证的重要性
  4. 框架级安全责任：Next.js 等框架的默认配置可能无意中暴露攻击面

未来防护方向：

  1. 深度防御策略：在应用层、框架层和基础设施层实施多层防护
  2. 持续安全监控：建立针对前端服务器组件的专门监控体系
  3. 安全开发生命周期：将安全考虑融入前端架构设计早期阶段
  4. 社区协作防御：建立漏洞信息共享和快速响应机制

React 团队在公告中引用 Log4Shell 的案例并非偶然。这提醒我们，在快速发展的技术生态中，安全是一个持续的过程而非一次性任务。每一次漏洞修复都是学习和改进的机会，每一次攻击都是对系统韧性的测试。

资料来源

  1. React 官方安全公告：Denial of Service and Source Code Exposure in React Server Components (2025-12-11)
  2. Wiz.io 技术分析：React2Shell: Technical Deep-Dive & In-the-Wild Exploitation of CVE-2025-55182
  3. CVE 数据库记录：CVE-2025-55182、CVE-2025-55183、CVE-2025-55184、CVE-2025-67779

application-security