React & Next.js DoSの脆弱性 (CVE-2025-55184): React2Shell後に修正すべき点

マッケンジー・ジャクソン

該当事項はありません。

掲載日

2025年12月12日

最終更新日

2025年12月12日

主なポイント

CVE-2025-55184は、React Server Components（RSC）脆弱性サービス拒否（DoS）脆弱性であり、リモートコード実行の欠陥ではありません。
この問題はReact2Shell（CVE-2025-55182）と密接に関連しており、同じReact Flightプロトコルの逆シリアライゼーション層に起因しています。
Aikido は既にCVE-2025-55184を検知し、チームが実際に影響を受けているか、完全に修正済みかどうかを確認するためのアプリ内チェックリストを提供しています。
特別に仕組まれたリクエストは無限ループやハング状態を引き起こし、影響を受けたサーバーが応答しなくなる可能性があります。
不完全な初期パッチが追跡脆弱性CVE-2025-67779を引き起こしたため、一部のチームは再度アップグレードが必要となる。
影響が最も大きいアプリケーションは、Next.js App Router またはその他の RSC 対応フレームワークを使用しています。

要約：まだ危険にさらされていますか？

CVE-2025-55182（React2Shell）のみに対処するためにアップグレードした場合、依然として脆弱な状態にある可能性があります。

CVE-2025-55184は隣接するRSCコードパスに影響を与え、攻撃者がコード実行権限を取得しなくてもアプリをオフライン状態にできる可能性があります。最新のパッチ適用済みReactおよびNext.jsバージョン（後続のCVE-2025-67779の修正を含む）を実行していることを確認してください。

修復手順

1. React および RSC パッケージのアップグレード

Flightプロトコルの逆シリアライズロジックにおけるRCE（リモートコード実行）およびDoS（サービス拒否）の問題を完全に解決する、最新のパッチ適用済みReactリリースを実行していることを確認してください。

2. Next.js および RSC フレームワークのアップグレード

Next.jsユーザーは、メジャーバージョンライン内の最新のパッチ適用済みリリースにアップグレードする必要があります。
アプリルーターまたはサーバー機能を使用するアプリが最も危険に晒される。
React2Shell後の初期パッチのみに依存することは避けてください。一部は不完全だったためです。

3. 追跡CVEの再スキャン

CVE-2025-55184の初期修正が不完全であったため、以下の点を確認する必要があります：

CVE-2025-67779も修正済みです
脆弱な推移的RSC依存関係は依存関係

4. 検証する Aikido

新しいスキャンを実行して確認してください：

脆弱なRSCパッケージは完全に削除されました
影響を受けたシリアル化パスは、もはや到達不可能です
アップグレードにより、依存関係フラグだけでなく、実際に実行時の脆弱性も解消されます

背景

12月3日、React Server Components（RSC）脆弱性重大なリモート脆弱性（CVE-2025-55182）が発見され、Reactエコシステムは大きな衝撃を受けた。この脆弱性は広く「React2Shell」と呼ばれている。前回のブログ記事では、RSCの「Flight」プロトコルにおける安全でない逆シリアライゼーションが、認証されていない攻撃者に細工されたHTTPリクエストを送信させることを可能にし、デフォルトのReact/Next.jsアプリケーションでサーバーの完全な乗っ取りにつながる可能性について考察した。

その後、業界が55182へのパッチ適用と防御に急いだ結果、隣接するコードパスに新たな脆弱性が発見され、新たなセキュリティアドバイザリとCVEが発行されました。その一つがCVE-2025-55184です。これはReact2Shellのようなリモートコード実行の欠陥ではありませんが、可用性に対する深刻なリスクを引き続き示しています。