CVE詳細 - CVE-2025-55182-

CVE-2025-55182 の詳細

CVEの情報

説明:
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.

CVE更新日: 2025-12-03 16:15:56.463000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2025-12-05

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.998020000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-55182について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-55182は、「React2Shell」とも呼ばれる、React Server Componentsおよび関連フレームワークに影響を与える深刻な認証前リモートコード実行（RCE）の脆弱性です。この脆弱性は、Reactの内部プロトコルである「Flight」における安全でない逆シリアル化の欠陥に起因します。影響を受けるバージョンのReact Server Componentsが着信ペイロードを検証しないため、攻撃者が悪意のある構造を注入し、プロトタイプ汚染やリモートコード実行を引き起こす可能性があります。

1.1 影響

本脆弱性が悪用されると、攻撃者はターゲットサーバー上で任意のコードを実行できるようになり、サーバーの完全な制御を奪われる可能性があります。これにより、インフラストラクチャの侵害、データの持ち出し、横方向の移動、資格情報の窃取など、広範囲にわたる影響が発生する可能性があります。顧客データベース、APIキー、ビジネスロジック、知的財産などが漏洩する可能性があり、侵害されたReactサーバーが内部システム、データベース、クラウドリソースへの攻撃の足がかりとなることもあります。

1.2 深刻度

CVE-2025-55182の深刻度は、CVSSスコア10.0（Critical）と評価されています。これは、最も高い深刻度を表し、緊急の対応が必要であることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンに限定されず、React Server Componentsおよびそれを活用するフレームワークの導入に影響を与えます。

2.2 影響を受ける設定

以下のReact Server Componentsのバージョンおよび関連パッケージが影響を受けます。

React Server Componentsのバージョン: 19.0.0, 19.1.0, 19.1.1, および 19.2.0
影響を受けるパッケージ:
- react-server-dom-parcel
- react-server-dom-turbopack
- react-server-dom-webpack

また、React Server Componentsに依存する主要なフレームワークやバンドラーも影響を受けます。

Next.js (バージョン 15.x および 16.x)
React Router (RSC APIを使用している場合)
Waku
ViteおよびParcelの各種プラグイン
Redwood SDK

アプリケーションがReact Server Componentsをサポートするフレームワーク、バンドラー、またはバンドラープラグインを使用していない場合、この脆弱性の影響を受けません。

3. 影響を受けた時の兆候

2025年12月5日には、この脆弱性に関連する悪用活動が検出されています。攻撃は、システム詳細や環境変数の列挙、横方向の移動や資格情報の窃取を目的とした活動が確認されています。また、TruffleHogやGitleaksなどのシークレット検出ツールやカスタムスクリプトが展開され、さまざまなシークレットの抽出が試みられました。Azure Instance Metadata Service (IMDS) エンドポイントなどのクラウドプロバイダーのIDトークンを狙い、他のクラウドリソースへの横方向の移動を試みるケースも報告されています。

4. 推奨対策

4.1 本対策

最も重要な対策は、影響を受けるソフトウェアを直ちにパッチ適用し、アップグレードすることです。

Reactをアップグレード:
- React 19.0.1以降
- React 19.1.2以降
- React 19.2.1以降
Next.jsをアップグレード:
- Next.js 15.0.5以降
- Next.js 15.1.9以降
- Next.js 15.2.6以降
- Next.js 15.3.6以降
- Next.js 15.4.8以降
- Next.js 15.5.7以降
- Next.js 16.0.7以降

4.2 暫定回避策（緩和策）

直ちにパッチ適用が困難な場合は、以下の緩和策を検討してください。

HTTPリクエストのブロック: 悪意のあるペイロードや、__proto__、constructor、prototypeなどの危険なJavaScriptプロパティを含むHTTPリクエストをブロックする。
レート制限の導入: 不審なトラフィックに対して、攻撃的なレート制限を実装する。
ネットワークのセグメンテーション: ネットワークを適切にセグメンテーションし、攻撃の影響範囲を限定する。
コンテナセキュリティの強化: コンテナのセキュリティコンテキストを設定し、コンテナイメージをセキュアにする。
WAF (Web Application Firewall) の活用: 適切なWAFルール（例：Google Cloud Armorルール）を設定し、防御層を強化する。ルールは、まずプレビューモードで展開し、影響を確認してから適用することが推奨されます。
サーバーアクションエンドポイントの監査: すべてのサーバーアクションエンドポイントを監査し、潜在的な脆弱性を特定する。
Edge Runtimeの検討: 攻撃対象領域を減らすために、Edge Runtimeの使用を検討する。
PoC（概念実証）の監視: 新しいPoCの亜種がないか継続的に監視する。
ホスティングプロバイダーの保護: Google Cloudなどのホスティングプロバイダーは、共通の悪用試行に対してプラットフォームレベルの保護を適用している場合がありますが、これに依存せず、自身のアプリケーションのアップデートを優先してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る