کامپوننت‌های سرور React (RSC) برای استریم رابط‌های کاربری تعاملی به پروتکل اختصاصی Flight تکیه می‌کنند؛ اما همین مکانیزمی که تجربه توسعه وب را متحول کرده، حفره‌های خطرناک Deserialization را نیز به نمایش می‌گذارد که مهاجمان می‌توانند از آن‌ها سوءاستفاده کنند.
دورگش پاوار (Durgesh Pawar)، محقق امنیتی، در تحلیل خود مکانیک پشت آسیب‌پذیری «React2Shell» با امتیاز CVSS 10.0 را تشریح کرده است. او نشان می‌دهد که چگونه دستکاری پروتکل Flight می‌تواند به اجرای کد از راه دور (RCE) منجر شود؛ بدترین سناریویی که هر تیم توسعه‌ای می‌تواند تجربه کند.
پروتکل Flight داده‌ها را در قالب ساختاری خطی‌شده (serialized) از سرور به کلاینت می‌فرستد. اگر فرآیند بازسازی (deserialization) این داده‌ها به‌درستی محافظت نشود، مهاجمان می‌توانند با تزریق payloadهای مخرب، کنترل کامل سرور را به دست بگیرند. این ریسک زمانی خطرناک‌تر می‌شود که فریم‌ورک‌ها و پلتفرم‌هایی مثل Next.js که روی RSC ساخته شده‌اند، بدون درک کامل این خطرات پیاده‌سازی شوند.
خبر خوب این است که آگاهی از این حفره‌ها، اولین قدم برای دفاع است. تیم‌های توسعه باید ورودی‌های پروتکل Flight را اعتبارسنجی کنند، از نسخه‌های به‌روز React استفاده کنند و معماری امنیتی خود را بازنگری نمایند. در دنیایی که زیرساخت‌های وب هر روز هدف حملات قرار می‌گیرند، امنیت دیگر یک گزینه نیست؛ یک ضرورت مطلق است.
به نقل از کدیران
این گزارش نشان می‌دهد که چگونه پیچیدگی‌های فنی فریم‌ورک‌های مدرن می‌تواند هزینه‌های امنیتی پنهانی به همراه داشته باشد. پروتکل Flight در React نمونه‌ای از معماری‌هایی است که برای بهبود تجربه کاربری و عملکرد طراحی شده، اما در عین حال سطح حمله جدیدی را نیز ایجاد می‌کند.
اهمیت این موضوع برای اکوسیستم تحت وب بسیار زیاد است، زیرا React پایه میلیون‌ها سایت و برنامه اینترنتی را تشکیل می‌دهد. وقتی آسیب‌پذیری‌ای با امتیاز ۱۰.۰ (بالاترین درجه CVSS) کشف می‌شود، به این معناست که مهاجمان می‌توانند بدون نیاز به احراز هویت، از راه دور و با پیچیدگی پایین، کنترل کامل سرورها را به دست بگیرند. چنین سناریویی می‌تواند به سرقت داده‌ها، نشت اطلاعات حساس کاربران و حتی قطعی کامل سرویس‌ها منجر شود.
برای پروژه‌هایی که در حوزه بلاکچین و رمزارزها فعالیت می‌کنند، این خبر اهمیت مضاعفی دارد. کیف‌پول‌های تحت وب، صرافی‌های غیرمتمرکز و پلتفرم‌های DeFi که از React و Next.js استفاده می‌کنند، اهداف جذابی برای مهاجمان هستند. یک حمله RCE موفق می‌تواند مستقیماً به سرقت دارایی‌های دیجیتال کاربران منجر شود؛ خطری که هیچ تیمی نمی‌تواند از آن چشم‌پوشی کند.
پیش‌بینی ما در کدیران این است که در ماه‌های آینده شاهد انتشار گزارش‌های فنی بیشتری درباره نحوه سوءاستفاده از این آسیب‌پذیری باشیم. به احتمال زیاد تیم React در نسخه‌های پیش رو تغییراتی در نحوه serialize و deserialize داده‌ها اعمال خواهد کرد تا این مشکل را برطرف کند. توسعه‌دهندگان باید همین امروز وابستگی‌های پروژه خود را بررسی کرده و یک ممیزی امنیتی روی کدهای مربوط به RSC انجام دهند.