Serverseitige JavaScript-Rahmenwerke können einen eigenen Kontext nach der Ausnutzung offenlegen, wenn eine verwundbare Anwendung beginnt, Betriebssystembefehle auszuführen. Die Quelle definiert eine Linux-Audit-Suche für React Server Components, Next.js und ähnliche RCE-Szenarien durch serverseitige Deserialisierung.

Die Abdeckung umfasst CVE-2025-55182 und ähnliche Schwachstellen bei der Deserialisierung im Web ohne Authentifizierung.

Verhaltensbasierte Erkennungsabfrage

Die Suche sucht nach Befehlen, die aus Verzeichnissen im Zusammenhang mit Node.js, Next.js, React oder Anwendungscode ausgeführt werden.

rule.groups:audit and data.audit.cwd:(*node_modules* or */next* or */react* or */app*) and data.audit.command:(sh or bash or dash or curl or wget or nc or ncat or python or python3 or whoami or id or uname or cat or chmod)

Die Befehlsliste umfasst:

• Shells;

• Download-Dienstprogramme;

• Netcat-Varianten;

• Python;

• Identitäts- und Systemermittlung;

• Änderungen an Dateiberechtigungen.

Die Quelle verzeichnete in den vorangegangenen 30 Tagen null Treffer.

Abfrage zur Schwachstellenexposition

Die Quelle enthält außerdem eine direkte Prüfung des Schwachstellenindex:

vulnerability.id:"CVE-2025-55182"

Auch diese Abfrage lieferte null Ergebnisse.

Warum beide Abfragen nützlich sind

Die Abfrage des Schwachstellenindex beantwortet, ob ein überwachtes Paket oder ein Host mit der konkreten CVE in Verbindung steht.

Die Verhaltensabfrage beantwortet eine andere Frage: Hat ein relevanter Anwendungskontext Befehle ausgeführt, die auf eine Ausnutzung hindeuten könnten?

Die Nutzung beider Abfragen hilft, sich nicht nur auf das Schwachstelleninventar oder nur auf das Verhalten zu verlassen.

Untersuchungsablauf

Wenn die Verhaltensabfrage einen Treffer liefert, prüfen Sie:

• aktuelles Arbeitsverzeichnis;

• ausführbare Datei;

• effektiver Benutzer;

• übergeordneter Prozess;

• Anwendungsprotokolle;

• HTTP-Anfragen im selben Zeitraum;

• Netzwerkverbindungen;

• erstellte oder geänderte Dateien.

Ein Befehl wie whoami, gefolgt von curl oder einer Shell aus einem Next.js-Anwendungsverzeichnis, verdient eine genauere Untersuchung.

Feinabstimmung

Erstellen Sie eine Basislinie der legitimen Anwendungsbereitstellung und Build-Aktivität. Node.js-Umgebungen können während Installations- oder Build-Prozessen legitim Shell-Befehle ausführen.

Produktions-Laufzeit-Hosts sollten im Allgemeinen ein engeres erwartetes Befehlsprofil haben als Entwicklungs- oder CI-Systeme.

Betrieblicher Nutzen

Die Quelle verzeichnete weder für Exposition noch für Verhalten Treffer, doch die Erkennung bleibt nützlich, da sie Anwendungskontext mit Befehlsausführung kombiniert.

Bei auf Linux gehosteten React- und Next.js-Anwendungen kann dieser Kontext helfen, den Übergang von der serverseitigen Ausnutzung der Anwendung zu Aktivitäten auf Betriebssystemebene zu erkennen.