- Neue Sicherheitslücken in React Server Components, CVE-2025-55183 und CVE-2025-55184, ermöglichen die Offenlegung des Quellcodes und Denial-of-Service-Angriffe.
- Beide Probleme betreffen bestimmte Versionen 19.x der Pakete react-server-dom-parcel, -turbopack und -webpack.
- Das React-Team von Meta hat die korrigierten Versionen 19.0.3, 19.1.4 und 19.2.3 veröffentlicht und fordert dringend ein schnelles Upgrade.
- Die Fehler wurden bei Stresstests früherer React2Shell (CVE-2025-55182)-Patches entdeckt, was auf eine intensive Überprüfung der Angriffsfläche von RSC hindeutet.
Zwei neu entdeckte Sicherheitslücken in React Server Components (RSC) lenken die Aufmerksamkeit erneut auf die Sicherheit moderner JavaScript-Backends. Die unter CVE-2025-55183 und CVE-2025-55184 geführten Schwachstellen ermöglichen zwar keine direkte Ausführung von Remote-Code, können aber unter den richtigen Bedingungen durch Denial-of-Service-Angriffe und die ungewollte Offenlegung des Backend-Quellcodes dennoch schwerwiegende Störungen verursachen.
Diese Fehler traten im Rahmen einer umfassenderen Sicherheitsüberprüfung auf, die durch die kritische React2Shell-Schwachstelle (CVE-2025-55182) ausgelöst wurde , welche bereits aktiv ausgenutzt wurde. Obwohl die neuen Schwachstellen weniger gravierend sind als die frühere CVSS-10.0-Schwachstelle, verdeutlichen sie, wie Forscher und Angreifer gleichermaßen nach Bekanntwerden eines kritischen Fehlers die angrenzenden Quellcodepfade von RSC nach alternativen Angriffstechniken durchsuchen.
Hintergrund: Von React2Shell zu neuen RSC-Schwachstellen
Nachdem die Sicherheitsverantwortlichen und das React-Team Maßnahmen zur Abschwächung der Sicherheitslücke in React2Shell implementiert hatten, begannen Sicherheitsforscher, den aktualisierten Code zu untersuchen, um festzustellen, ob die Korrekturen umgangen oder zu neuen Exploits ausgebaut werden konnten . Dieses Vorgehen ist branchenweit üblich: Sobald eine kritische Sicherheitslücke behoben ist, werden angrenzende Logik und Schnittstellen eingehend auf ähnliche Muster untersucht.
Im Zuge dieser Folgeuntersuchungen wurden drei verwandte RSC-Schwachstellen dokumentiert : eine Denial-of-Service-Schwachstelle (CVE-2025-55184), ein nachfolgender unvollständiger Fix mit denselben Auswirkungen (CVE-2025-67779) und eine Schwachstelle, die die Offenlegung von Informationen ermöglicht (CVE-2025-55183). Obwohl CVE-2025-67779 ebenfalls für die RSC-Sicherheit relevant ist, liegt der Schwerpunkt nun auf dem Verständnis des neu detailliert beschriebenen Verhaltens und der Auswirkungen von CVE-2025-55183 und CVE-2025-55184.
Parallel zu dieser technischen Analyse haben Incident-Responder beobachtet, wie sich Exploit-Ketten um React2Shell herum entwickeln, bei denen Angreifer Remote Code Execution (RCE) mit Post-Exploitation-Payloads und lateraler Bewegung kombinieren. Diese anhaltende Aktivität unterstreicht die Dringlichkeit für Unternehmen, alle relevanten RSC-Schwachstellen, einschließlich CVE-2025-55183 und CVE-2025-55184, als Teil einer sich stetig weiterentwickelnden Angriffsfläche und nicht als isolierte Fehler zu behandeln.
Die Entdeckung und verantwortungsvolle Offenlegung dieser Probleme zeigen, wie die breitere Sicherheitsgemeinschaft, die Entwickler der Hersteller und die Bug-Bounty-Jäger zusammenarbeiten, um weit verbreitete Frameworks wie React abzusichern , selbst wenn Angreifer versuchen, genau diese Komponenten als Waffe einzusetzen.
Technische Details zu CVE-2025-55184: Denial-of-Service in Serverfunktionen
CVE-2025-55184 beschreibt eine Denial-of-Service-Schwachstelle (DoS) vor der Authentifizierung, die React Server Components betrifft. Die Ursache liegt in der Art und Weise, wie bestimmte RSC-Pakete die Deserialisierung von Nutzdaten aus HTTP-Anfragen an Serverfunktionsendpunkte verarbeiten.
In anfälligen Versionen können speziell präparierte Anfragen eine unsichere Deserialisierungslogik auslösen, die in einer Endlosschleife gefangen ist . Sobald diese Schleife aktiviert ist, hängt sich der Prozess, der die Serverfunktion verarbeitet, praktisch auf, wodurch die Anwendung nicht mehr in der Lage ist, nachfolgenden HTTP-Traffic zu verarbeiten oder zuverlässig zu antworten.
Die Auswirkungen sind besonders besorgniserregend, da die Schwachstelle ausgenutzt werden kann, bevor eine Authentifizierung erzwungen wird . Anders ausgedrückt: Ein Angreifer benötigt weder gültige Anmeldeinformationen noch erhöhte Berechtigungen, um die Schwachstelle auszunutzen; eine Reihe schädlicher Anfragen genügt, um Serverressourcen zu binden und einen RSC-basierten Dienst möglicherweise lahmzulegen.
Laut der veröffentlichten Bewertung weist CVE-2025-55184 einen CVSS-Basiswert von 7.5 auf und gehört damit zur Kategorie „hoher Schweregrad“. Obwohl die Schwachstelle selbst keine Codeausführung ermöglicht, kann ein zuverlässiger DoS-Angriff auf einen wichtigen Teil des Backend-Stacks dennoch zu Verfügbarkeitsrisiken, Verletzungen von Service-Level-Agreements und negativen Auswirkungen auf nachgelagerte Geschäftsprozesse führen.
Während des Patch-Prozesses wurde einer unvollständigen Behebung dieses Problems eine separate Kennung, CVE-2025-67779 , zugewiesen. Diese Folge-CVE behebt verbleibende Pfade, die weiterhin denselben Denial-of-Service-Effekt hervorriefen, und unterstreicht, wie die Behebung komplexer Deserialisierungsfehler mehrere Iterationen erfordern kann, um jeden Sonderfall abzudecken.
Technische Details zu CVE-2025-55183: Offenlegung des Quellcodes durch manipulierte Anfragen
Während CVE-2025-55184 die Verfügbarkeit betrifft, befasst sich CVE-2025-55183 mit der Vertraulichkeit . Diese Schwachstelle wird als Informationsleck in React-Serverkomponenten charakterisiert , das dazu führen kann, dass der Quellcode bestimmter Serverfunktionen an einen entfernten Client zurückgegeben wird.
Bei anfälligen Versionen kann eine sorgfältig formulierte HTTP-Anfrage an eine ungeschützte Serverfunktion ein Verhalten auslösen, bei dem der Server mit dem zugrundeliegenden Code der jeweiligen Serverfunktion antwortet . Solche Datenlecks können Implementierungsdetails, Geschäftslogik, fest codierte Zeichenketten oder andere sensible Informationen offenlegen, die Unternehmen normalerweise streng serverseitig schützen.
Die Ausnutzung von CVE-2025-55183 ist jedoch an eine bestimmte Voraussetzung geknüpft: Es muss mindestens eine Serverfunktion geben, deren Schnittstelle ein Argument bereitstellt , das explizit oder implizit in ein String-Format konvertiert wurde. Nur wenn dieses Muster in der RSC-Nutzung der Anwendung vorhanden ist, wird die Schwachstelle für einen potenziellen Angreifer nutzbar.
Die Sicherheitsbewertung weist CVE-2025-55183 einen CVSS-Wert von 5.3 zu und ordnet sie damit dem mittleren Schweregrad zu. Dennoch kann die Offenlegung des Quellcodes alles andere als harmlos sein. Kenntnisse über interne Funktionsnamen, Parameter, Fehlerbehandlung und Datenflüsse können Angreifern helfen, gezieltere Angriffe zu entwickeln , versteckte Schwachstellen aufzudecken und Phishing- oder Social-Engineering-Angriffe durchzuführen, die dem tatsächlichen Systemverhalten besser entsprechen.
Über den unmittelbaren Nutzen für die Ausnutzung hinaus kann die durch durchgesickerten Serverfunktionscode gewonnene Transparenz die Anwendung effektiv in eine eigene Blaupause für zukünftige Eindringversuche verwandeln , insbesondere in Umgebungen, in denen die gleichen Muster bei mehreren Diensten auftreten.
Betroffene Pakete und Versionen im React RSC-Ökosystem
Die neu dokumentierten Sicherheitslücken betreffen eine Reihe von React Server Components-Integrationspaketen , insbesondere die Implementierungen, die RSC in Build- und Laufzeittools einbinden. Die betroffenen Module sind:
- react-server-dom-parcel
- react-server-dom-turbopack
- react-server-dom-webpack
Sowohl CVE-2025-55184 als auch CVE-2025-55183 betreffen mehrere Versionen der 19.x-Reihe. Zu den betroffenen Versionen gehören 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 und 19.2.1 . Entwicklungsteams, die diese Versionen in Produktions- oder Testumgebungen einsetzen, müssen davon ausgehen, dass ihre Systeme bei Kontakt mit nicht vertrauenswürdigen Daten anfällig für Denial-of-Service-Angriffe oder Quellcodelecks sein können .
Darüber hinaus betrifft die unvollständige Behebung des Problems gemäß CVE-2025-67779 die Versionen 19.0.2, 19.1.3 und 19.2.2 . Obwohl diese Kennung mit demselben DoS-Verhalten wie CVE-2025-55184 in Verbindung steht, verdeutlicht sie, dass selbst aktualisierte Systeme unter Umständen weiterhin teilweise angreifbar sein können, wenn sie auf diesen Zwischenversionen basieren.
Die Bandbreite der betroffenen Versionen verdeutlicht, wie der schnelle Iterationszyklus von RSC das Patch-Management erschweren kann. Organisationen, die nur sporadisch aktualisieren oder bestimmte Nebenversionen festlegen, bemerken möglicherweise nicht, dass eine neu erreichte Version in einen betroffenen Zeitraum fällt. Daher ist eine sorgfältige Versionsprüfung unerlässlich.
Angesichts der Popularität des React-Ökosystems und der zunehmenden Nutzung von Serverkomponenten zur Verbesserung der Performance und der Entwicklererfahrung dürfte der Pool an Anwendungen, die potenziell von CVE-2025-55183 und CVE-2025-55184 betroffen sind , ein breites Spektrum an Branchen und Bereitstellungsmodellen umfassen.
Gepatchte Versionen und empfohlener Upgrade-Pfad
Um die Sicherheitslücken zu beheben, hat das React-Team gepatchte Versionen aller drei betroffenen RSC-Pakete veröffentlicht . Nutzern wird dringend empfohlen, so bald wie möglich auf die folgenden korrigierten Versionen zu migrieren:
- 19.0.3
- 19.1.4
- 19.2.3
Laut den Entwicklern beheben diese Updates das Denial-of-Service-Problem (DOS) gemäß CVE-2025-55184 und dem verwandten CVE-2025-67779 sowie das Risiko der Offenlegung von Informationen gemäß CVE-2025-55183 vollständig. Entscheidend ist, dass auch der frühere React2Shell-Angriffsvektor (CVE-2025-55182) durch die umfassenderen Patches, die in den 19.x-Zweigen veröffentlicht wurden, blockiert wird.
Teams, die für Produktionsumgebungen verantwortlich sind, werden dringend gebeten, dies als dringende Wartungsaufgabe zu behandeln , insbesondere angesichts der aktiven Suche nach RSC-Schwachstellen durch seriöse Forscher und Angreifer. Ist die sofortige Bereitstellung der neuesten Version nicht möglich, sollten Organisationen zumindest sicherstellen, dass sie keine der explizit aufgeführten anfälligen Versionen verwenden.
Wie immer sollten Bibliotheksaktualisierungen mit Tests und stufenweisen Rollouts einhergehen . Das Hinzufügen von Regressionsprüfungen für kritische Serverfunktionen, die Überwachung der Fehlerraten nach der Aktualisierung und die Überprüfung von Protokollen auf ungewöhnliche Deserialisierungs- oder Serialisierungsaktivitäten tragen dazu bei, dass sich die neuen Versionen im realen Datenverkehr wie erwartet verhalten.
Die schnelle Verfügbarkeit von Patches unterstreicht die Haltung des React-Teams, dass mehrere Offenlegungsrunden nicht unbedingt ein Zeichen für ein fehlgeschlagenes Abhilfeverfahren sind, sondern vielmehr für einen gesunden Reaktionszyklus, bei dem sich die Verteidigungstiefe im Laufe der Zeit verbessert, da immer mehr Grenzfälle und Varianten aufgedeckt und behoben werden.
Wie die Sicherheitslücken entdeckt und gemeldet wurden
Die neu dokumentierten Schwachstellen sind das Ergebnis einer fortlaufenden Zusammenarbeit zwischen unabhängigen Sicherheitsforschern und dem Bug-Bounty-Programm von Meta . Die Denial-of-Service-Schwachstellen CVE-2025-55184 und die Folgeschwachstelle CVE-2025-67779 wurden von RyotaK und Shinsaku Nomura gemeldet , die die Identifizierung der Schwachstelle ermöglichten, durch Schadsoftware RSC in einen nicht reagierenden Zustand zu versetzen.
Die Informationsleck-Schwachstelle CVE-2025-55183 wurde von Andrew MacPherson aufgedeckt , der die Bedingungen hervorhob, unter denen eine Serverfunktion ihren eigenen Quellcode zurückgeben könnte, wenn ihr eine sorgfältig konstruierte HTTP-Anfrage präsentiert wird.
Diese Erkenntnisse ergaben sich, während die Forscher aktiv versuchten, die bestehenden Schutzmaßnahmen gegen CVE-2025-55182 einem Stresstest zu unterziehen . Dabei bildeten sie effektiv die Art von Analysearbeit nach, die Angreifer laut ihrer Einschätzung durchführen könnten, jedoch innerhalb eines Rahmens verantwortungsvoller Meldungen und koordinierter Patch-Verteilung.
Das React-Team hat öffentlich bestätigt, dass solche Muster in der gesamten Softwarebranche typisch sind , nicht nur im JavaScript-Ökosystem. Sobald ein kritischer Fehler Aufmerksamkeit erregt, suchen Entwickler und Angreifer gleichermaßen nach alternativen Ausnutzungsstrategien entlang benachbarter Codepfade und decken dabei mitunter zuvor übersehene Schwachstellen auf.
Durch die zügige und transparente Behebung der Sicherheitslücken CVE-2025-55183, CVE-2025-55184 und CVE-2025-67779 wollen die Entwickler einer möglichen Ausnutzung der Sicherheitslücken zuvorkommen und gleichzeitig Organisationen klare Anleitungen zur Sicherung ihrer React Server Components-Bereitstellungen geben.
Risikokontext: Warum Nicht-RCE-Bugs trotzdem relevant sind
Auch wenn diese neuen Schwachstellen einem Angreifer nicht direkt die Ausführung von Schadcode ermöglichen, können sie dennoch wertvolle Bestandteile eines umfassenderen Angriffswerkzeugs darstellen . Eine Denial-of-Service-Schwachstelle wie CVE-2025-55184 kann genutzt werden, um den Betrieb zu stören, als Ablenkungsmanöver für die Verteidiger zu dienen oder die Belastbarkeit der Infrastruktur eines Unternehmens unter extremer Last zu testen.
Parallel dazu kann ein Sicherheitsvorfall wie CVE-2025-55183, der den Quellcode offenlegt, Aufklärungsbemühungen unterstützen . Der Zugriff auf den internen Code von Serverfunktionen kann aufdecken, wie Anfragen authentifiziert werden, welche Parameter den Datenbankzugriff beeinflussen, wie Fehler behandelt werden und wo Drittanbieterdienste integriert sind. Diese Transparenz ist für Angreifer, die präzisere oder unauffälligere Angriffe planen, von unschätzbarem Wert.
In Umgebungen, die bereits mit den Folgen von React2Shell (CVE-2025-55182) zu kämpfen haben, erhöhen diese zusätzlichen Schwachstellen die Komplexität der gesamten Bedrohungslandschaft. Verteidiger müssen neben der unmittelbaren Verhinderung von Remote Code Execution (RCE) auch die Stabilität und Vertraulichkeit des RSC-Verhaltens bei böswilliger Eingabe berücksichtigen.
Aus Sicht der IT-Governance verdeutlicht diese Situation, warum Schwachstellenmanagementprogramme über aufsehenerregende CVSS-10.0-Werte hinausblicken müssen . Schwachstellen mit mittlerem und hohem Schweregrad, die die Verfügbarkeit und den Informationsverlust beeinträchtigen, können weiterhin entscheidend sein, insbesondere in Kombination mit anderen Techniken in einer realistischen Angriffskette.
Letztlich bekräftigen diese Entwicklungen die Erkenntnis, dass die Aufrechterhaltung sicherer RSC-Bereitstellungen keine einmalige Angelegenheit ist. Vielmehr handelt es sich um einen kontinuierlichen Prozess des Patchens, Überwachens, Testens und der Überprüfung der Konzeption und Bereitstellung von Serverfunktionen im Laufe der Zeit.
Nachdem sich die Aufregung um den React2Shell-Vorfall und die damit verbundenen Folgeerscheinungen gelegt hat, sind Organisationen, die React Server Components (RSC) verwenden, angehalten, ihre Abhängigkeitsversionen erneut zu überprüfen, ihre serverseitigen Schnittstellen abzusichern und schnell auf Sicherheitswarnungen der Entwickler zu reagieren . Durch die Verwendung der neuesten gepatchten Versionen und die Integration von Sicherheitsprüfungen in ihre Entwicklungsprozesse können Teams das Zeitfenster für Angreifer, die CVE-2025-55183, CVE-2025-55184 und verwandte RSC-Schwachstellen ausnutzen wollen, deutlich verringern.
