CVE-2025-55182 und CVE-2025-66478: Kritische Remote Code Execution (RCE) in React Server Components und Next.js

Startseite » Python » CVE-2025-55182 und CVE-2025-66478: Kritische Remote Code Execution (RCE) in React Server Components und Next.js

Die Entdeckung von CVE-2025-55182 in React und der zugehörigen Sicherheitslücke CVE-2025-66478 in Next.js hat die moderne Webentwicklungswelt deutlich gewarnt. Diese Schwachstellen setzen Server, die React Server Components (RSC) und Frameworks mit dem RSC-„Flight“-Protokoll verwenden, der unauthentifizierten Ausführung von Remote-Code aus – selbst bei einer völlig standardmäßigen, sofort einsatzbereiten Konfiguration.

Besonders besorgniserregend an dieser Situation ist, wie gering der Aufwand für Angreifer ist, diese Schwachstelle auszunutzen: Eine speziell präparierte HTTP-Anfrage an einen anfälligen Endpunkt kann ausreichen, um beliebigen Code auf dem Server auszuführen. Da ein Großteil der Cloud-Umgebungen auf React und Next.js basiert, ist die Dringlichkeit für Administratoren und Entwickler, diese Sicherheitslücke zu schließen, kaum zu überschätzen.

Grundlegendes zu CVE-2025-55182 und CVE-2025-66478

CVE-2025-55182 bezieht sich auf den Kernfehler. in England, react-server Das Paket ist die Komponente, die React Server Components und deren „Flight“-Protokoll zugrunde liegt. Es ist für die Verarbeitung der speziellen Nutzdaten zuständig, die beim Streamen serverseitig gerenderter Komponenten an den Client verwendet werden – ein zentraler Mechanismus des neuen React-19-Ökosystems.

Parallel zu, CVE-2025-66478 beschreibt die Auswirkungen auf Next.js.Next.js integriert React Server Components und nutzt dasselbe zugrundeliegende Protokoll. Da Next.js direkt auf dieser RSC-Infrastruktur aufbaut, werden Schwächen des Protokolls sofort von typischen Next.js-Anwendungen übernommen, einschließlich solcher, die mit Tools wie React Server Components erstellt wurden. create-next-app.

Beide Kennungen beschreiben kritische Schwachstellen, die die Ausführung von nicht authentifiziertem Remote-Code ermöglichen . Sicherheitsteams haben sie mit der höchsten Schweregradstufe bewertet, was nicht nur ihre technischen Auswirkungen widerspiegelt, sondern auch die Tatsache, dass eine Ausnutzung in realen Einsatzszenarien ohne komplexe Voraussetzungen möglich ist.

Forscher haben zudem festgestellt, dass das betroffene Verhalten in vielen Konfigurationen standardmäßig aktiviert ist . Das bedeutet, dass Anwendungen keine ungewöhnlichen Muster verwenden oder riskante Optionen hinzufügen müssen, um angreifbar zu sein; die bloße Verwendung aktueller RSC-basierter Stacks kann ausreichen, um die Sicherheitslücke zu übernehmen.

Das Problem liegt im Hintergrund in der Art und Weise, wie RSC-Payloads von der serverseitigen Logik akzeptiert und verarbeitet werden . Anstatt nicht vertrauenswürdige Eingaben gründlich zu validieren und einzuschränken, ermöglicht der Deserialisierungsprozess, dass vom Angreifer kontrollierte Daten die Ausführungspfade auf dem Server beeinflussen.

Wie das Flugprotokoll zu einem Weg zu RCE wird

Die Ursache für CVE-2025-55182 in React Server Components ist ein logischer Deserialisierungsfehler bei der Verarbeitung des RSC-„Flight“-Protokolls. RSC verwendet ein spezielles Datenformat zur Beschreibung von Komponentenstrukturen, Eigenschaften und Serveraktionen, das vom Server kodiert und vom Client im Rahmen des Renderings dekodiert wird.

Wenn ein Server eine manipulierte Flight-Payload empfängt , sollte er alle Daten als nicht vertrauenswürdig behandeln. Stattdessen verarbeitet die anfällige Implementierung diese Eingabe so, dass sie das Verhalten privilegierter Serverseiten beeinflussen kann. Der unsichere Deserialisierungsschritt bildet die Brücke zwischen den schädlichen Daten und dem JavaScript-Code, der mit vollen Serverrechten ausgeführt wird.

Sicherheitsforscher bezeichnen diese Art von Problem als unsichere Deserialisierung : Die Anwendung verarbeitet komplexe Eingabestrukturen, rekonstruiert daraus Objekte oder Ausführungsabläufe und versäumt es, ausreichende Schutzmechanismen für die Aktionen dieser rekonstruierten Objekte zu implementieren. Dadurch wird einem Angreifer die Möglichkeit gegeben, die Ausführung in beliebige Codepfade zu lenken.

Während der Tests berichteten die Forschungsteams von nahezu perfekter Zuverlässigkeit bei Ausnutzungsversuchen . Proof-of-Concept-Angriffe, deren Details aus Gründen des Missbrauchsschutzes nicht vollständig offengelegt wurden, zeigten, dass sie die Ausführung von Remote-Code mit einer Erfolgsquote von nahezu 100 % ermöglichten. Die einzige praktische Voraussetzung ist die Fähigkeit, eine speziell präparierte HTTP-Anfrage an einen exponierten RSC-Endpunkt zu senden.

Der Angriff erfolgt daher remote und ohne Authentifizierung : Es sind weder eine gültige Sitzung noch ein durchgesickertes Token oder ein vorheriger Zugriff erforderlich. Eine öffentlich zugängliche Next.js- oder andere RSC-basierte Anwendung, die nicht aktualisiert wurde, kann untersucht und, falls sie Schwachstellen aufweist, kompromittiert werden.

Wer und was ist betroffen?

Da die Schwachstelle in der Kernimplementierung von react-server liegt , betrifft sie nicht nur React selbst und Next.js, sondern jedes Framework, das RSC auf ähnliche Weise bündelt oder integriert. Dadurch ist das potenzielle Risiko deutlich größer als bei einer einzelnen Bibliothek oder einem vom Hersteller betreuten Produkt.

Öffentliche Analysen haben Next.js aufgrund seiner Popularität und tiefen RSC-Integration als das prominenteste nachgelagerte Ziel identifiziert . Daten von Wiz Research zeigen, dass ein erheblicher Anteil von Cloud-Umgebungen React- oder Next.js-Versionen verwendet, die anfällig sind, wodurch ein beträchtlicher Teil der serverseitigen Rendering-Infrastruktur des Webs gefährdet ist.

Schätzungen aus diesen Bewertungen legen nahe, dass etwa 39–40 % der Cloud-Umgebungen mindestens eine von diesen CVEs betroffene Instanz von React oder Next.js enthalten. Next.js selbst ist in den meisten dieser Umgebungen vertreten und bildet in vielen Fällen die Grundlage für öffentlich zugängliche Anwendungen, die direkt mit dem Internet verbunden sind.

Abgesehen von Next.js ist jedes Framework oder Tool, das das react-server-Paket einbindet oder RSC anderweitig unterstützt, potenziell gefährdet. Beispiele für gemeldete Sicherheitslücken sind:

• Next.js, in seinen RSC-fähigen Versionen.
• Vite RSC-Plugins die Serverkomponentenunterstützung bereitstellen.
• Parcel RSC-Plugins mit integrierten React-Serverkomponenten.
• React Router RSC-Vorschauen oder experimentelle Freigaben.
• RedwoodSDK Implementierungen unter Verwendung von RSC-Funktionen.
• Waku und ähnliche, neu entstehende, RSC-basierte Rahmenwerke.

Cloud-Plattformanbieter haben begonnen, die potenziellen Auswirkungen aus ihrer Sicht zu verdeutlichen. Google hat beispielsweise mitgeteilt, dass standardmäßige öffentliche Betriebssystem-Images auf Google Cloud für Compute Engine nicht mit anfälligen RSC-Stacks ausgeliefert werden. Sobald Nutzer jedoch ihre eigenen React- oder Next.js-Anwendungen auf diesen Images bereitstellen, liegt die Verantwortung für die Behebung der Sicherheitslücken bei ihnen.

Warum das Risiko als extrem eingestuft wird

Mehrere Merkmale zusammen machen CVE-2025-55182 und CVE-2025-66478 für Verteidiger besonders besorgniserregend. Erstens ist die Angriffsfläche in die Netzwerkkommunikation von RSC integriert, sodass sie in vielen Konfigurationen über normalen HTTP-Verkehr erreichbar ist. Server benötigen keine speziellen Sicherheitsfunktionen, um angreifbar zu sein; eine Standardinstallation genügt.

Zweitens ist die Standardkonfiguration für typische Anwendungen, die das betroffene RSC-Protokoll verwenden, anfällig. Entwickler, die sich auf empfohlene, sofort einsatzbereite Tools und bewährte Vorgehensweisen verlassen haben, haben möglicherweise unwissentlich anfällige Anwendungen bereitgestellt, ohne jegliche Anpassungen vorzunehmen.

Drittens sind die Folgen eines erfolgreichen Exploits äußerst gravierend: die vollständige Ausführung von Schadcode auf dem Server . Sobald ein Angreifer diese Ebene erreicht hat, kann er in der Regel beliebige Befehle ausführen, tiefer in die Umgebung eindringen, Daten exfiltrieren oder die Anwendungslogik manipulieren. In Cloud-nativen Umgebungen, in denen Dienste eng integriert sind, kann dies schnell zu einer umfassenderen Kompromittierung führen.

Sicherheitsforscher äußerten zudem die Besorgnis, dass es, da nun Patches und Sicherheitshinweise öffentlich zugänglich sind , nur eine Frage der Zeit sei, bis Angreifer die Änderungen rückverstehen, um ihre eigenen Exploits zu entwickeln, wie in Leitfäden zur npm-Sicherheit erläutert wird.

Schließlich verstärkt die weite Verbreitung von React und Next.js in Produktionsumgebungen das Risiko. React ist eine der meistgenutzten JavaScript-Bibliotheken für die Entwicklung von Benutzeroberflächen, und Next.js hat sich zu einem Standard-Framework für serverseitig gerenderte und hybride Anwendungen entwickelt. Ein Fehler in einer Nischenkomponente wäre möglicherweise relativ begrenzt geblieben; ein Fehler in RSC betrifft jedoch einen Großteil des Web-Stacks.

Reaktionen von Anbietern und Sicherheitsteams

Nachdem die Sicherheitslücke identifiziert worden war, erfolgte die Offenlegung zügig. Der Sicherheitsforscher Lachlan Davidson meldete den Fehler Ende November über das Bug-Bounty-Programm von Meta an das React-Team. Dank dieser frühen Benachrichtigung konnten die Entwickler das Problem untersuchen, gehärtete Versionen vorbereiten und sich mit nachgelagerten Frameworks wie Next.js abstimmen.

Die Entwickler von React haben inzwischen aktualisierte Versionen von React und des react-server-Pakets veröffentlicht , die das unsichere Deserialisierungsverhalten des Flight-Protokolls beheben. Diese gehärteten Versionen sind darauf ausgelegt, RSC-Payloads sicherer zu verarbeiten und die Codepfade zu schließen, die es zuvor ermöglichten, dass nicht vertrauenswürdige Daten die serverseitige Ausführung steuerten.

Vercel und die Das Next.js-Team hat eigene Sicherheitshinweise herausgegeben.Die Dokumentation beschreibt detailliert, welche Versionen betroffen sind und wie Benutzer aktualisieren sollten. Ziel war es, Teams die Identifizierung betroffener Bereitstellungen und die Aktualisierung auf gepatchte Versionen so einfach wie möglich zu gestalten, auch für Anwendungen, die mit gängigen Tools wie … erstellt wurden. create-next-app.

Auf der defensiven Seite haben Wiz Research und andere Sicherheitsanbieter Analysen, Scans und Abfragen veröffentlicht, um Unternehmen bei der Erkennung anfälliger Instanzen in ihren Cloud-Umgebungen zu unterstützen. Wiz hat beispielsweise vordefinierte Abfragen und Threat-Center-Warnungen hinzugefügt, um React- und Next.js-Installationen aufzuspüren, die noch immer auf der fehlerhaften RSC-Implementierung basieren.

Experten im Bereich der Reaktion auf Sicherheitsvorfälle bereiten sich auf die Wahrscheinlichkeit vor, dass einige Organisationen mit realen Ausnutzungsversuchen konfrontiert werden . Sicherheitsfirmen haben Teams, die gezielte Aktivitäten im Zusammenhang mit CVE-2025-55182 oder CVE-2025-66478 vermuten , dazu angehalten, schnellstmöglich Spezialisten für die Reaktion auf Sicherheitsvorfälle hinzuzuziehen – idealerweise bevor Angreifer tiefer in das System eindringen können.

Sofortmaßnahmen für Entwickler und Betreiber

Für Teams, die Webanwendungen auf Basis von React Server Components (RSC) entwickeln, ist das Upgrade auf gehärtete Versionen die einzig zuverlässige Schutzmaßnahme . Konfigurationsanpassungen allein reichen wahrscheinlich nicht aus, um das Risiko vollständig zu eliminieren und gleichzeitig die normale RSC-Funktionalität zu erhalten, da der Fehler in der Verarbeitung des Protokolls selbst liegt.

Ein praktischer Reaktionsplan für Organisationen könnte folgendermaßen aussehen:

• Inventarisierung aller React- und Next.js-Anwendungeneinschließlich interner Tools und weniger sichtbarer Dienste, nicht nur der wichtigsten öffentlich zugänglichen Websites.
• Ermitteln Sie, welche Bereitstellungen RSC verwenden oder auf Versionen angewiesen sind. React und Next.js wurden von den Herstellern als anfällig eingestuft.
• React, react-server und Next.js aktualisieren auf die von den jeweiligen Entwicklern veröffentlichten gehärteten Versionen gemäß deren versionsspezifischen Anweisungen.
• Weitere RSC-fähige Frameworks prüfen wie beispielsweise Redwood-, Waku- oder RSC-Plugins für Vite und Parcel, und Aktualisierungen sofort nach deren Veröffentlichung durch die jeweiligen Entwickler anwenden.
• Protokollierung und Telemetrie überprüfen um RSC-Endpunkte herum auf ungewöhnliche, fehlerhafte oder verdächtige Anfragen, die auf Sondierungs- oder Ausnutzungsversuche hindeuten könnten.

Organisationen, die Cloud-Sicherheitstools einsetzen, können zudem die vom Anbieter bereitgestellten Erkennungsinhalte nutzen, um diesen Prozess zu beschleunigen. Beispielsweise können die von Wiz bereitgestellten Abfragen dabei helfen, anfällige Pakete und Frameworks in Multi-Cloud-Umgebungen zu finden und so das Risiko zu verringern, dass ein übersehener Dienst ungeschützt bleibt.

Wo möglich, sollten Teams auch erwägen, die Erreichbarkeit von RSC-Endpunkten vorübergehend durch zusätzliche Zugriffskontrollmechanismen, Ratenbegrenzungen oder Anwendungsfirewalls einzuschränken, während Patches eingespielt werden. Diese Maßnahmen sind zwar nur vorübergehende Lösungen und keine vollständigen Behebungen, können aber dazu beitragen, das Zeitfenster für Angreifer zu verringern.

Wie bei jeder schwerwiegenden Remote-Code-Ausführung (RCE) ist eine verstärkte Überwachung kritischer Ressourcen gleichermaßen wichtig. Warnmeldungen bei Anomalien in der Prozesserstellung, ausgehenden Netzwerkverbindungen von Anwendungsservern und unerwarteten Konfigurationsänderungen können helfen, eine erfolgreiche Ausnutzung frühzeitig zu erkennen.

Längerfristige Auswirkungen auf das Web-Ökosystem

Das Auftreten der Sicherheitslücken CVE-2025-55182 in React und CVE-2025-66478 in Next.js hat eine breitere Diskussion darüber angestoßen, wie neue Funktionen für Webplattformen konzipiert und eingeführt werden. Serverseitiges Rendering und Serverkomponenten versprechen zwar Vorteile hinsichtlich Performance und Entwicklerfreundlichkeit, konzentrieren aber auch viel Leistung und Komplexität auf eine relativ kleine Anzahl von Protokollen und Bibliotheken.

Eine Lehre aus diesem Vorfall ist, dass Serialisierungs- und Deserialisierungsschichten besonderer Aufmerksamkeit bedürfen . Jeder Mechanismus, der komplexe Objekte rekonstruiert oder strukturierte Daten aus nicht vertrauenswürdigen Quellen interpretiert, birgt ein hohes Risiko schwerwiegender Fehler, wenn die Validierung unvollständig ist. Da immer mehr Frameworks ähnliche Muster wie RSC verwenden, werden Code-Reviewer und Sicherheitsprüfer diese Schnittstellen voraussichtlich noch genauer unter die Lupe nehmen.

Das Ausmaß der potenziellen Auswirkungen hat zudem verdeutlicht, wie sehr Open-Source-Ökosysteme auf schnelle und koordinierte Reaktionen bei kritischen Sicherheitslücken angewiesen sind. React, Next.js, Cloud-Anbieter und Sicherheitsfirmen mussten sich rasch abstimmen, um Patches, Dokumentationen und Erkennungstools bereitzustellen. Diese Koordination kann die Zeit zwischen Entdeckung und Behebung erheblich verkürzen und so den Gesamtschaden reduzieren.

Gleichzeitig verdeutlicht der Vorfall, wie leicht Standardeinstellungen reale Risiken beeinflussen können . Wenn eine leistungsstarke Funktion standardmäßig aktiviert und weit verbreitet ist, wird jede Schwachstelle dieser Funktion quasi über Nacht zu einem systemischen Problem. Zukünftige Framework-Designs sollten daher mehr Wert auf sichere Standardeinstellungen, optionale erweiterte Funktionen oder klarere Sicherheitsabwägungen legen.

Schließlich werden Entwicklungsteams ihre eigenen Bedrohungsmodelle für serverbasierte Funktionen wahrscheinlich überarbeiten . Selbst in Umgebungen, die sich bisher gut geschützt fühlten, wird die Möglichkeit, dass nicht authentifizierte Anfragen die serverseitigen Rendering-Pfade beeinflussen können, Sicherheitsteams dazu veranlassen, lang gehegte Annahmen zu hinterfragen und in robustere Tests zu investieren.

Während die Community diese Schwachstellen weiter analysiert, werden Organisationen, die schnell handeln , um Patches einzuspielen, ihre RSC-Nutzung zu überwachen und neu zu bewerten, besser aufgestellt sein. Die Behebung von CVE-2025-55182 und CVE-2025-66478 beschränkt sich nicht nur auf die Lösung eines einzelnen Fehlers; sie verdeutlicht vielmehr, wie eng moderne Web-Stacks miteinander vernetzt sind und wie wichtig es ist, die zugrunde liegenden Systeme stets im Auge zu behalten.