# オープニング #我が家のお鍋事情 どうもー。セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を輩出した 屈指のセキュリティ企業家である私、松野が東京都関連のセキュリティ組織で働きつつ、 サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は我が家のお鍋事情に関する話なんですけども 寒い日が続いておりますので お鍋とかでですね、食べながら温まっていただければなぁと思っているわけなんですけども うちの近所のスーパーでもお鍋セットですか 一式売っていてですね、本当に煮込むだけという大変便利な形で売られているわけなんですけども 別の観点でですね、そういったお鍋のセットですね ダイエットの観点でもすごくいいなぁと思っていまして 以前にですね、炊飯器に食べるものを全部入れて炊くだけというですね、沼という料理なのか ご紹介させていただきましたが、あれと同じコンセプトでして、もうその鍋一式の中に全てのカロリーが主役されているわけですね どうしてもこの料理をですね、小分け小分けで作っていくとですね、その1食分以上を作ってしまって 調子に乗ってですね、おかわりみたいなね、ちょっとお酒入ったりとかすると、なってしまってオーバーカロリーと いうことがあると思うんですけども、もうこれだけしか食べませんと言うものでですね 意識整っているとダイエットが順調に進むんじゃないかと思っておりますので 寒い時期ですが、お鍋ダイエットですね 試してみてはいかがでしょうか ということで、今回はウェブ開発で広く使われているリアクトサーバーコンポーネンツにおける 重大な脆弱性について取り上げております この放送を通じてリスナーの皆さんは、脆弱性の具体的な内容とそれがもたらす影響 そして具体的な対策について理解を深めていただければと思います それではどうぞ # React Server Components に重大なセキュリティ脆弱性 リアクトサーバーコンポーネンツに重大なセキュリティー脆弱性 リアクトサーバーコンポーネンツにおいて、認証なしでサーバー上の任意コードを実行できてしまう 深刻な脆弱性が発見された。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。このニュースは、2025年に公開されたCVE-2025-55182という重大な脆弱性に関するものです。 具体的には、リアクトサーバーコンポーネンツがクライアントからのペイロードをデコードする際の処理に欠陥があり、 認証されていない攻撃者がこれを悪用することで、サーバー上で任意のコードを実行できてしまうというものです。 CVSSスコアは最高値の10.0と評価されており、影響は甚大です。 リアクトサーバーコンポーネンツを使用している多くのアプリケーション、特にNext.jsやリアクトなどの主要なフレームワークも影響を受けます。 直ちに対策を講じることが強く推奨されています。 リアクトサーバーコンポーネンツという言葉が何度も出てきましたが、これは具体的にどのような技術なのでしょうか。 はい。リアクトサーバーコンポーネンツは、リアクトアプリケーションの一部をサーバー側でレンダリングし、その結果をクライアントにストリーミングする新しい機能です。 これにより、初期ロード時間の短縮やサーバーのリソースを活用した複雑な処理が可能になります。 従来のリアクトがクライアント側ですべてを処理していたのに対し、サーバー側とクライアント側で役割を分担することで、パフォーマンスと開発体験の向上を目指しています。 今回の脆弱性も、このサーバー側でのデータ処理の仕組みに起因しています。 認証なしでリモートコード実行が可能というのは、具体的にどのようなメカニズムで起こるのでしょうか。 はい。今回の脆弱性は、リアクトがクライアントから送られてきたデータをサーバー側で処理する際、つまりデシリアライズする過程に問題がありました。 攻撃者は、特別に採取したHTTPリクエストをサーバーのリアクトサーバーファンクションのエンドポイントに送信します。 リアクトがその悪意あるペイロードをデコードする際に、予期しないコードが実行されてしまうという仕組みです。 これにより、認証を経ずに、外部からサーバーのシステムを操作できる状態になってしまうため、非常に危険視されています。 この脆弱性への具体的な修正方法や、すぐに取るべき対策について教えていただけますか。 はい。この脆弱性への最も重要な対策は、影響を受けるパッケージを直ちに修正済みのバージョンへアップグレードすることです。 Next.jsやリアクトルーターなどのフレームワークを使用している場合も、各フレームワークの最新のパッチ適用済みバージョンへのアップグレードが推奨されています。 自分のアプリケーションがこの脆弱性の影響を受けているかどうかは、どうすれば確認できるのでしょうか。 はい。ご自身のアプリケーションが影響を受けるかどうかを確認する方法はいくつかあります。 まず、ご利用のプロジェクトでリアクトサーバー、DOMウェブパックやリアクトサーバー、DOMパーセルといったリアクトサーバーコンポーネンツ関連のパッケージを使用しているか、そしてそのバージョンを確認してください。 さらに、Next.jsやリアクトルーター、WAQなど、影響を受けると明記されているフレームワークやバンドラーを使っている場合も、バージョン確認が必要です。 記事には具体的なバージョンが示されていますので、それらと照らし合わせて脆弱性の有無を判断できます。 今回のような重大な脆弱性が発見されたことで、私たち開発者は長期的にどのような教訓を得るべきでしょうか。 はい。今回の事例から学ぶべき教訓はいくつかあります。 一つは、新しい技術やフレームワークを導入する際には、そのセキュリティリスクについて深く理解する必要があるということです。 リアクトサーバーコンポーネンツは強力な機能ですが、その複雑さが新たな脆弱性の温床となる可能性を常に考慮すべきです。 また、脆弱性情報は常に最新のものを追いかけ、迅速なバージョンアップを習慣づけることの重要性も再認識させられます。 サプライチェーン全体でのセキュリティ意識向上が、このようなリスクから身を守る鍵となります。 なるほど。リアクトサーバーコンポーネンツのデシリアライズ処理の脆弱性が、認証なしのリモートコード実行につながる非常に危険なものだと理解できました。 常に最新のバージョンに保ち、情報収集を怠らないことの重要性を強く感じます。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、よく使われていらっしゃる方が多いかと思います。 リアクトで発見された重大な脆弱性ということでですね、 コメントでもリクエストをいただきましたので、 緊急で収録をさせていただいております。 こちらのですね、脆弱性にはリアクトツーシェルという別名も付いておりまして、 この名前でピンときた方もいらっしゃるかもしれませんが、 2021年にですね、同じく年末ですね、発見されたログ4Jのログ4シェルと、 同様にですね、CBSSのスコアが10.0ということで、 非常に深刻度の高い脆弱性が、これまた年末に発見されてしまいました。 まずはですね、このリアクトを使っていらっしゃる方、 あとはリアクトで開発されたウェブアプリケーションをお持ちの方はですね、 今すぐアップデートをご検討いただきたいわけなんですけども、 よく今、現場で発生しているのがですね、 このリアクトサーバーコンポーネントは使ってないんじゃないかと、 いうふうに思っていらっしゃる方でもですね、 最近ね、特にセキュラジでちょうどお届けしていた、 いわゆるライブラリの依存関係ですね。 ここで該当コンポーネントがですね、知らずのうちに導入されておりまして、 影響を受けていたというケースがですね、 僕自身も対応した件で何件も確認されております。 ですからまずはですね、リアクトということで、 心当たりある方はですね、とにかくアップデートをご検討いただきたいということになります。 年末も迫っておりますので、これ自体はですね、 決して翌年に持ち越さずですね、 まずはこうアップデートの確認をということで、 今日はお届けさせていただきました。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そしてわからないことは今すぐ聞こう、何でも聞ける、 セキュラジ製作室は水曜日夜8時から絶賛生放送中です。 さらに土曜日はセキュラジAI民主社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティショッキーの松野でした。 See you.