Millionen Webanwendungen sind nach der Offenlegung eines katastrophalen Fehlers in der React Server Components (RSC)-Architektur unmittelbar gefährdet. Die als CVE-2025-55182 identifizierte Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Remote Code Execution (RCE) mit nahezu perfekter Zuverlässigkeit zu erreichen.
React ist die weltweit am häufigsten verwendete Bibliothek zum Erstellen von Webschnittstellen und bildet die Grundlage dafür Enden von Branchenriesen wie Facebook, Netflix und Airbnb. Next.js dient als Infrastrukturschicht für React und verwaltet die Ausführung dieser Anwendungen auf Servern und die Bereitstellung von Inhalten für Benutzer. Zusammen bilden sie das Rückgrat eines bedeutenden Teils des modernen Internets.
Die Schwachstelle zielt auf eine bestimmte Architektur namens React Server Components (RSC) ab. Mit RSC können Teile einer Webseite auf dem Server und nicht auf dem Gerät des Benutzers gerendert werden, um die Leistung zu verbessern. Der Fehler liegt in der Kommunikationsleitung – insbesondere dem „Flight“-Protokoll – zwischen dem Server und dem Benutzer.
Im Klartext fungiert diese Schwachstelle als digitaler Generalschlüssel. Da das System eingehende Daten nicht ordnungsgemäß prüft, kann ein Angreifer einen böswilligen Befehl senden, den der Server blind akzeptiert und ausführt. Dies gewährt ihnen die volle Kontrolle über die Backend-Infrastruktur, ohne dass ein Passwort oder ein spezieller Zugriff erforderlich ist, und ermöglicht es ihnen, Daten zu stehlen, Ransomware zu installieren oder den Server für Botnet-Angriffe zu kapern.
Der im „Flight“-Datentransportprotokoll verborgene Fehler ist auf die unsichere Deserialisierung von HTTP-Anfragen zurückzuführen. Standardkonfigurationen von Next.js, dem dominierenden Framework des Ökosystems, sind sofort ausnutzbar und erfordern keine spezifischen Codierungsfehler durch Entwickler, um sie auszulösen.
Meta und Vercel haben Notfall-Patches für React 19 und Next.js-Versionen 14 bis 16 veröffentlicht. Mit 39 % der Cloud-Umgebungen gelten als anfällig. Sicherheitsteams werden dringend zu einem sofortigen Upgrade aufgefordert.
Die Mechanismen eines CVSS 10.0-Fehlers
Sicherheitsexperten stoßen selten auf einen Schwachstelle mit einem perfekten Schweregrad. Das offizielle Advisory weist dieser Schwachstelle eine CVSS-Bewertung von 10,0 zu, was maximale Auswirkung und geringe Ausnutzbarkeit anzeigt.
Im Mittelpunkt dieser Krise steht das „Flight“-Protokoll, ein spezieller Datentransportmechanismus, der die Kommunikation erleichtern soll zwischen React Server-Komponenten und dem Client.
Im Gegensatz zu typischen Remote-Codeausführungsfehlern, die komplexe Exploit-Ketten oder vorherige Authentifizierung erfordern, erfordert dieser Fehler nur eine einzige, speziell gestaltete HTTP-Anfrage.
Das Wiz Research Team, das den Fehler analysiert hat, Erklären Sie die Grundursache:
„Die Sicherheitslücke liegt im Wesentlichen im React-Server-Paket und seiner Handhabung des RSC-‚Flight‘-Protokolls.“
„Es handelt sich um eine Schwachstelle bei der logischen Deserialisierung, bei der der Server RSC-Nutzlasten auf unsichere Weise verarbeitet.“
„Wenn ein Server eine speziell gestaltete, fehlerhafte Nutzlast empfängt, kann er die Struktur nicht validieren korrekt.”
Deserialisierungsschwachstellen treten auf, wenn eine Anwendung eingehenden Datenstrukturen ohne ausreichende Validierung vertraut. In diesem Fall verarbeitet der Server die bösartige Nutzlast blind und wandelt sie in ausführbare Logik um.
Wiz bestätigte, dass der Exploit bemerkenswert stabil ist. Es hängt nicht von Race-Bedingungen, bestimmten Speicherzuständen oder komplexen Zeitfenstern ab, die häufig mit Speicherbeschädigungsfehlern einhergehen.
Das Wiz-Forschungsteam machte auf die Gefahr automatisierter Angriffe aufmerksam und stellte fest: „Die Ausnutzung erfordert nur eine manipulierte HTTP-Anfrage und hat in Tests eine nahezu 100-prozentige Zuverlässigkeit gezeigt.“
Diese Stabilität lässt darauf schließen, dass automatisierte Botnets innerhalb von Stunden in großem Umfang nach Servern suchen und diese kompromittieren könnten, sobald Payload-Details öffentlich werden.
Die Angriffsfläche ist besonders gefährlich, weil sie umgeht Standardauthentifizierungsebenen. Jeder Endpunkt, der für die Verarbeitung von RSC-Anfragen konfiguriert ist, fungiert als offene Tür.
Das React-Team warnt: „Ein nicht authentifizierter Angreifer könnte eine bösartige HTTP-Anfrage an jeden Serverfunktionsendpunkt erstellen, der, wenn er deserialisiert wird React ermöglicht die Remote-Codeausführung auf dem Server Router. Dazu gehören die Versionen 14.x, 15.x und 16.x, die beim Abrufen und Rendern von Daten stark auf RSC angewiesen sind.
Die technische Analyse von Wiz betont, dass dies nicht auf Nachlässigkeit oder Fehlkonfiguration der Entwickler zurückzuführen ist.
Die Das Forschungsteam von Wiz erklärte: „Standardkonfigurationen sind angreifbar – eine Standard-Next.js-App, die mit create-next-app erstellt und für die Produktion entwickelt wurde, kann ohne Codeänderungen durch den Entwickler ausgenutzt werden.“
Die Schwachstelle geht über Next.js hinaus und umfasst auch andere moderne Frameworks, die die RSC-Architektur übernehmen. Das Next.js-Sicherheitsupdate bestätigt, dass auch Waku, RedwoodJS und React Router betroffen sind, wenn sie die anfälligen React-Pakete verwenden.
Laut dem offiziellen CVE-2025-55182-Hinweis:
„In den React Server Components-Versionen 19.0.0, 19.1.0, 19.1.1 und 19.0.0, 19.1.0, 19.1.1 besteht eine Sicherheitslücke bezüglich der Remotecodeausführung vor der Authentifizierung 19.2.0 einschließlich der folgenden Pakete: React-Server-Dom-Parcel, React-Server-Dom-Turbopack und React-Server-Dom-Webpack aufgrund der transitiven Natur der Abhängigkeit. Entwickler bemerken möglicherweise nicht, dass sie „react-server-dom-webpack“ oder „react-server-dom-turbopack“ direkt verwenden, da diese häufig tief in den Framework-Interna gebündelt sind.
Die Unterscheidung zwischen der „Verwendung“ von Serverfunktionen und der bloßen „Unterstützung“ dieser Funktionen ist hier von entscheidender Bedeutung. Die Infrastruktur selbst ist das Ziel, nicht unbedingt die benutzerdefinierten Endpunkte des Entwicklers.
Remediation and Defense
Meta und Vercel haben eine gleichzeitige Veröffentlichung von Patches koordiniert. Die React-Versionen 19.0.1, 19.1.2 und 19.2.1 beheben den Kernfehler, indem sie die Deserialisierungslogik verschärfen.
Für Next.js-Benutzer ist ein Upgrade auf die neuesten Patch-Versionen die einzige endgültige Lösung. Vercel hat die Versionen 14.3.0-canary.88, 15.0.5, 15.1.9 und 16.0.7 veröffentlicht, um das Problem zu beheben.
Es gibt keine Konfigurations-Workarounds. Das Deaktivieren von Serveraktionen oder bestimmten Routen reicht nicht aus, wenn die zugrunde liegende RSC-Infrastruktur aktiv bleibt.
Der WAF-Schutz von Cloudflare bietet einen proaktiven Schutz für Kunden hinter ihrem Proxy. Das Unternehmen hat Regeln implementiert, um bösartige Flight-Payloads zu filtern, bevor sie den Ursprungsserver erreichen.
Es reicht jedoch nicht aus, sich ausschließlich auf den WAF-Schutz zu verlassen. Interner Datenverkehr, Direct-to-Origin-Anfragen oder nicht-Proxy-Endpunkte könnten immer noch die Edge-Verteidigung umgehen.
Das React-Team betonte die Notwendigkeit, interne Tools und nicht öffentliche Apps zu patchen, und warnte: „Auch wenn Ihre App keine React-Server-Funktionsendpunkte implementiert, kann sie dennoch anfällig sein, wenn Ihre App React-Server-Komponenten unterstützt.“
Sicherheitsteams sollten der Identifizierung aller Anwendungen mit „react-server“ Priorität einräumen Abhängigkeiten, unabhängig davon, ob sie Serveraktionen aktiv nutzen.
Da die Schwachstellendetails nun veröffentlicht sind, schließt sich das Zeitfenster für Patches vor Beginn der automatisierten Ausnutzung schnell.
