Framework-urile JavaScript server-side pot expune un context distinct de post-exploatare atunci când o aplicație vulnerabilă începe să execute comenzi la nivelul sistemului de operare. Sursa definește o vânătoare pe baza jurnalelor de audit Linux pentru React Server Components, Next.js și scenarii similare de RCE prin deserializare server-side.
Acoperirea include CVE-2025-55182 și vulnerabilități similare de deserializare web neautentificată.
Interogare de detecție comportamentală
Vânătoarea caută comenzi executate din directoare asociate cu Node.js, Next.js, React sau cu codul aplicației.
rule.groups:audit and data.audit.cwd:(*node_modules* or */next* or */react* or */app*) and data.audit.command:(sh or bash or dash or curl or wget or nc or ncat or python or python3 or whoami or id or uname or cat or chmod)
Lista de comenzi include:
shell-uri;
utilitare de descărcare;
variante de Netcat;
Python;
comenzi de identificare și de descoperire a sistemului;
modificări ale permisiunilor fișierelor.
Sursa a înregistrat zero potriviri în ultimele 30 de zile.
Interogare pentru expunerea la vulnerabilitate
Sursa include, de asemenea, o verificare directă în indexul de vulnerabilități:
vulnerability.id:"CVE-2025-55182"
Și această interogare a returnat zero rezultate.
De ce sunt utile ambele interogări
Interogarea din indexul de vulnerabilități răspunde la întrebarea dacă un pachet sau o gazdă monitorizată este asociată cu CVE-ul specific.
Interogarea comportamentală răspunde la o întrebare diferită: a executat un context relevant al aplicației comenzi care ar putea indica o exploatare?
Utilizarea ambelor ajută la evitarea dependenței exclusive fie de inventarul de vulnerabilități, fie de comportament.
Flux de investigare
Dacă interogarea comportamentală generează o potrivire, analizați:
directorul de lucru curent;
executabilul;
utilizatorul efectiv;
procesul părinte;
jurnalele aplicației;
cererile HTTP din aceeași perioadă;
conexiunile de rețea;
fișierele create sau modificate.
O comandă precum whoami urmată de curl sau de un shell dintr-un director al unei aplicații Next.js merită o investigare suplimentară.
Ajustare
Construiți un profil de referință al activității legitime de implementare și de build a aplicației. Mediile Node.js pot executa în mod legitim comenzi de shell în timpul proceselor de instalare sau de build.
Gazdele de runtime din producție ar trebui, în general, să aibă un profil de comenzi așteptat mai restrâns decât sistemele de dezvoltare sau de CI.
Valoare operațională
Sursa nu a înregistrat nicio potrivire nici pentru expunere, nici pentru comportament, dar detecția rămâne utilă deoarece combină contextul aplicației cu execuția de comenzi.
Pentru aplicațiile React și Next.js găzduite pe Linux, acest context poate ajuta la identificarea tranziției de la exploatarea aplicației server-side către activitatea la nivelul sistemului de operare.
