React2Shell - Angriffe gegen verwundbare Anwendungen auf von Basis React.JS und weiterer Frameworks

Diese Woche wurden kritische Sicherheitslücken in den React Server Components veröffentlicht. Diese Schwachstellen ermöglichen unauthentifizierte Remote-Code Execution sofern Anwendungen die betroffenen Server Components einsetzen. Mittlerweile wird diese Sicherheitslücke aktiv ausgenutzt um verwundbare Installationen zu kompromittieren. Proof-of-Concept Exploits sind bereits öffentlich zugänglich. Ein:e nicht authentifizierte:r Angreifer:in kann über das Netzwerk speziell präparierte Anfragen an betroffene Installationen senden, die eine unsichere Objekt-Deserialisierung auslösen. Dies führt zur Ausführung von beliebigem Code mit auf dem betroffenen Server.  Anwendungen die die Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0 folgender Pakete einsetzen: Diese Pakete werden zumindest auch in folgenden Frameworks ausgeliefert: Gleichzeitig weisen die Entwickler:innen von React darauf hin, dass nur Anwendungen verwundbar sind, die auf einem Server laufen und mithilfe eines Frameworks mit React Server Components realisiert wurden. Ein pauschales Sicherheitsrisiko für alle React-Anwendungen ist nicht gegeben. React hat Softwareupdates veröffentlicht, welche die Sicherheitslücken beheb...