חולשת אבטחה חדשה ומדאיגה בשם React2Shell מאיימת על אתרים ויישומים רבים שנבנו באמצעות ספריות ה-JavaScript הפופולריות React ו-Next.js.
החולשה מאפשרת לתוקפים להחדיר קוד זדוני ולבצע הרצת קוד מרחוק בלקוח.
גלישה באינטרנט עלולה להיות מסוכנת יותר כעת. חוקרי אבטחה פרסמו אזהרה מפני חולשה קריטית המכונה React2Shell, שמתגלה כסכנה חמורה עבור פלטפורמות ווב המסתמכות על ספריית React ועל פריימוורקים המשתמשים ב-Server-Side Rendering (SSR), דוגמת Next.js.
החולשה מאפשרת לתוקף להזריק קוד JavaScript שרירותי, מה שעלול להוביל להרצת קוד מרחוק בתוך דפדפן הקורבן (RCE – Remote Code Execution).
הבעיה: שימוש מסוכן בתוכן פנימי
הליבה של חולשת React2Shell נעוצה בשילוב של מספר גורמים:
- הפונקציה המועדת: החולשה מתמקדת בשימוש לא בטוח בפונקציית ה-React המכונה dangerouslySetInnerHTML. כשמה כן היא – פונקציה זו מיועדת להצבת HTML גולמי ישירות לתוך ה-DOM, ובאופן מסורתי נחשבת למסוכנת אם היא מקבלת קלט משתמש לא מאומת.
- עיבוד בצד השרת (SSR): הבעיה מחמירה כאשר הפונקציה משמשת בפריימוורקים המבצעים SSR, כמו Next.js. במקרים מסוימים, הפלט של dangerouslySetInnerHTML יכול להיות מנוצל על ידי תוקפים כדי להזריק קוד JavaScript זדוני לתוך הרכיב הנטען על ידי השרת.
מה יכולים ההאקרים לעשות?
ניצול מוצלח של חולשת React2Shell מעניק לתוקף יכולת להריץ כל קוד JavaScript שירצה בתוך הסשן של המשתמש.
ההשלכות עלולות להיות חמורות וכוללות:
- גניבת נתונים: גניבת קובצי קוקיז, טוקנים (Tokens) של סשנים ומידע רגיש המוצג למשתמש.
- השתלטות על משתמשים: חטיפת סשנים ולבצע פעולות בשם המשתמש המותקף (לדוגמה, שינוי סיסמה או ביצוע רכישות).
- שינוי ממשק: שינוי ויזואלי של האתר כדי להונות משתמשים אחרים או להציג פרסומות זדוניות.
דרכי ההתמודדות והתיקון
חוקרי האבטחה קוראים למפתחים לנקוט בצעדים מיידיים:
- עדכון גרסה: יש לוודא כי גרסאות React ו-Next.js בהן משתמש הפרויקט הן העדכניות ביותר, המכילות תיקונים לחולשה זו.
- ביקורת קוד (Audit): מפתחים חייבים לעבור על כלל הקוד ולבצע ביקורת קפדנית על כל מקום שבו נעשה שימוש ב-dangerouslySetInnerHTML.
- הגנה על קלט: יש לוודא כי כל קלט חיצוני (ממשתמשים, ממשקי API חיצוניים וכו') שעובר לפונקציה זו, עובר חיטוי (Sanitization) מלא ומוקפד, או עדיף להימנע משימוש בפונקציה זו לחלוטין.
הקהילה הטכנולוגית ממליצה למפתחים לעדכן ולבדוק את הקוד שלהם באופן מידי כדי למנוע ניצול פוטנציאלי של חולשה זו באתרי לקוחות.
