Security Advisory: Kerentanan Kritis Remote Code Execution pada React (CVE-2025-55182)

By Admin in Peringatan Keamanan

Peringatan Keamanan
Gov-CSIRT Indonesia mengeluarkan peringatan keamanan terkait ditemukannya kerentanan kritis Unauthenticated Remote Code Execution (RCE) pada React Server Components (RSC) yang terdaftar dengan CVE-2025-55182 dan memiliki skor CVSS 10.0 (Critical).

Kerentanan ini dikenal dengan nama “React2Shell”, yang berdampak pada React versi 19.x serta framework turunannya, termasuk Next.js App Router. Celah keamanan muncul akibat proses deserialisasi data yang tidak aman pada protokol Flight RSC, sehingga memungkinkan penyerang yang tidak terautentikasi mengirimkan payload berbahaya melalui HTTP dan mengeksekusi kode arbitrer pada server.

Dengan telah tersedianya Proof of Concept (PoC) secara publik, risiko eksploitasi terhadap sistem yang terdampak dinilai sangat tinggi dan memerlukan penanganan segera.
🛑 Detail Kerentanan
  • CVE ID: CVE-2025-55182
  • Severity: Critical
  • CVSS Score: 10.0
  • Kategori CWE:
    CWE-502 – Deserialization of Untrusted Data
  • Jenis Serangan: Remote Code Execution (RCE) tanpa autentikasi

Kerentanan ini terjadi ketika aplikasi melakukan deserialisasi data dari sumber yang tidak terpercaya tanpa validasi memadai, sehingga penyerang dapat menyisipkan data berbahaya yang memicu eksekusi kode saat proses deserialisasi berlangsung.

📦 Produk dan Versi Terdampak
Produk yang teridentifikasi terdampak antara lain:
  • react-server-dom-webpack
  • react-server-dom-turbopack
  • react-server-dom-webpack-client
  • React Server Components (RSC) versi 19.0.0 – 19.2.0
  • Next.js App Router versi 15.x dan 16.x

🛠️ Langkah Mitigasi dan Rekomendasi
Gov-CSIRT Indonesia sangat merekomendasikan pengguna dan pengelola sistem untuk segera melakukan langkah-langkah berikut:
  1. Memperbarui React Server Components ke versi 19.2.1 atau yang lebih baru.
  2. Melakukan upgrade Next.js App Router ke versi:
    • 15.0.5
    • 15.5.7
    • 16.0.7
  3. Memastikan seluruh dependensi terkait React dan Next.js telah menggunakan versi yang telah menerima perbaikan keamanan.
  4. Melakukan pemantauan log dan aktivitas sistem untuk mendeteksi indikasi eksploitasi.
Langkah-langkah ini diperlukan untuk mencegah potensi eksekusi kode jarak jauh yang dapat mengakibatkan pengambilalihan sistem server.

Sumber : https://csirt.or.id/t/bssn

Back to Posts