React服务器组件(RSC)协议中的严重漏洞CVE-2025-55182深度解析-编程实验室

React服务器组件(RSC)协议中的严重漏洞CVE-2025-55182

仓库概述

我创建这篇博客是因为没有找到任何向真正了解React但无法理解此问题的初学者解释该漏洞的博客。本文纯粹用于教育目的。

此问题的根源在于Next.js中React服务器函数处理客户端与服务器之间数据块的方式存在安全缺陷。以下是逐步概述以及数据块如何涉及：

React服务器函数充当客户端和服务器之间的通信桥梁，使客户端能够向服务器发送数据请求。对这些请求的响应使用所谓的React Flight协议，其中数据块被传输到服务器进行反序列化。

数据块：这些是在客户端和服务器之间传递的小块数据。数据块可以相互引用，这种引用告诉服务器如何高效处理复杂数据。

为什么React Flight协议很重要？

服务器组件允许React应用程序将某些操作卸载到服务器。Flight协议通过定义数据如何在客户端和服务器之间编码、传输和解码来实现这一点。

关键特性：

React Flight协议的优势

Press enter or click to view image in full size

CVE-2025-55182中利用的弱点

在CVE-2025–55182的背景下，Flight协议存在一个漏洞：

它在反序列化过程中没有充分验证块引用。

这使得攻击者可以制作恶意块来访问敏感的JavaScript对象（包括对象的原型），并执行任意代码。

例如，如果块0是：

{"then":"$1:__proto__:constructor:constructor"}

这将导致服务器调用构造函数，从而导致任意代码执行。

以下是发送到服务器的示例有效载荷：

files={"0":(None,'["$1"]'),"1":(None,'{"object":"fruit","name":"$2:fruitName"}'),"2":(None,'{"fruitName":"cherry"}'),}

当服务器处理这些块时，它们会组合成类似这样的内容：

{object:"fruit",name:"cherry"}

该漏洞的核心是React在尝试访问键（如fruitName）之前没有验证该键是否实际存在。这个疏忽允许攻击者访问敏感的JavaScript对象，如对象原型，其中包含危险的方法。

攻击者使用特殊格式的数据块有效载荷来绕过安全性并侵入性地访问服务器。

以下是恶意有效载荷：

files={"0":(None,'["$1:__proto__:constructor:constructor"]'),"1":(None,'{"x": 1}'),}

这在服务器上转换为以下对象：

[Function:Function]

发生了什么？

在此阶段，攻击者可以访问允许执行任意JavaScript代码的工具（Function）。

然后，攻击者可以确保恶意块的数据以服务器将其作为"可then对象"（类似Promise的对象）调用的方式返回。以下是实现此目的的有效载荷：

files={"0":(None,'{"then":"$1:__proto__:constructor:constructor"}'),"1":(None,'{"x":1}'),}

这在服务器上创建一个"可then对象"（类似Promise的对象）：

function() { [native code] }

攻击者使用可then方法，通过"调用小工具"来执行自己制作的JavaScript代码。具体来说：

以下是最终制作的有效载荷：

files={"0":(None,'{"then":"$1:__proto__:then","status":"resolved_model"}'),"1":(None,'"$@0"'),}

在此示例中：

通过添加确保接收的数据无法访问原型的检查来修补该漏洞。具体来说：

if(hasOwnProperty.call(moduleExports,metadata.NAME)){returnmoduleExports[metadata.NAME];}returnundefined;

这确保仅访问显式对象属性，阻止原型污染。

漏洞成功利用的原因

松散的验证：React的flight协议在检索值之前没有验证键是否存在。这允许滥用__proto__和constructor。
Promise（then方法）：使用"可then对象"使得将恶意代码链接到看似有效的服务器流程变得容易。
动态评估：服务器的代码动态解析和处理对象。这被利用来运行任意代码。
CSD0tFqvECLokhw9aBeRqgogYUG9/yr4cbJrLtRx1UHTPT620wqVETV/UVJ80k4HJPZ15Uv3YXxcJ7YeWV+Blx9a0pGuxC3mT+zErVuZUztYcmoaGjBeAn5lsEw/gNdOsq3M2WEAJjKdTtaP4aaHeA==
更多精彩内容请关注我的个人公众号公众号（办公AI智能小助手）
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）