Critical React2Shell Flaw Added to CISA KEV After Confirmed Active Exploitation

Exploitation Active d’une Vulnérabilité Critique dans React Server Components

Une faille de sécurité majeure, identifiée comme CVE-2025-55182 et surnommée “React2Shell”, a été ajoutée au catalogue des vulnérabilités connues et exploitées par la CISA en raison de son exploitation active. Cette vulnérabilité permet une exécution de code à distance (RCE) sans authentification, déclenchée par des requêtes HTTP spécialement conçues, exploitant une mauvaise gestion des données lors de la désérialisation dans le protocole Flight de React.

Points Clés :

• Nature de la Vulnérabilité : Exécution de code à distance (RCE) sans authentification.
• Impact : Permet à un attaquant non authentifié d’exécuter des commandes arbitraires sur le serveur.
• Cause Principale : Désérialisation non sécurisée dans le protocole Flight utilisé par les React Server Components (RSC).
• Exploitation : Confirmée par plusieurs entités de sécurité, avec des tentatives d’attaques provenant de groupes de pirates informatiques, y compris des acteurs associés à la Chine. Les attaques observées incluent le déploiement de mineurs de cryptomonnaies et de téléchargeurs de charges utiles.
• Envergure Potentielle : Environ 2,15 millions d’instances de services exposés sur Internet pourraient être affectées, incluant des applications utilisant Next.js, Waku, React Router et RedwoodSDK.

Vulnérabilités Identifiées :

• CVE-2025-55182 : Critère d’impact maximal (CVSS 10.0) affectant React Server Components. Permet une exécution de code à distance sans authentification via une désérialisation non sécurisée du protocole Flight.

Recommandations :

• Mise à Jour Immédiate : Appliquer les correctifs disponibles pour les versions concernées des bibliothèques react-server-dom-webpack, react-server-dom-parcel, et react-server-dom-turbopack (versions 19.0.1, 19.1.2, et 19.2.1 ou ultérieures).
• Patch Management : Les agences du gouvernement fédéral américain doivent appliquer les mises à jour avant le 26 décembre 2025, conformément à la directive opérationnelle B.O.D 22-01.
• Surveillance : Maintenir une vigilance accrue pour les activités suspectes et l’exploitation de cette faille.

Source