Lỗi từ chối dịch vụ trong server function của Meta React Server DOM

Một lỗ hổng từ chối dịch vụ có thể bị kích hoạt bằng cách gửi các HTTP request được tạo đặc biệt đến các endpoint của server function, điều này có thể dẫn đến việc sử dụng CPU quá mức; ảnh hưởng đến các package sau: react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack (các phiên bản từ 19.0.0 đến 19.0.7, từ 19.1.0 đến 19.1.8 và từ 19.2.0 đến 19.2.7).

Meta ghi nhận default status là unaffected ngoài các khoảng được nêu dưới đây:

• react-server-dom-webpack: bị ảnh hưởng từ 19.0.0 đến 19.0.7, từ 19.1.0 đến 19.1.8 và từ 19.2.0 đến 19.2.7.
• react-server-dom-parcel: bị ảnh hưởng từ 19.0.0 đến 19.0.7, từ 19.1.0 đến 19.1.8 và từ 19.2.0 đến 19.2.7.
• react-server-dom-turbopack: bị ảnh hưởng từ 19.0.0 đến 19.0.7, từ 19.1.0 đến 19.1.8 và từ 19.2.0 đến 19.2.7.

Vendor advisory nêu các bản sửa được backport là 19.0.8, 19.1.9 và 19.2.8. Tuy nhiên, dữ liệu package có cấu trúc của advisory liệt kê nhánh 19.0.x cho react-server-dom-webpack và react-server-dom-turbopack, nhưng không liệt kê nhánh 19.0.x cho react-server-dom-parcel, trong khi phần mô tả của advisory vẫn nêu react-server-dom-parcel trong tập 19.0.x bị ảnh hưởng. Vì vậy, trạng thái của react-server-dom-parcel 19.0.x cần được xử lý thận trọng và xác nhận với vendor, không nên suy ra là an toàn chỉ từ phần metadata không nhất quán này.

Các package bị ảnh hưởng là react-server-dom-webpack, react-server-dom-parcel và react-server-dom-turbopack, được sử dụng trong các luồng React Server Components phía máy chủ.

1. Kẻ tấn công gửi HTTP request được tạo đặc biệt đến các endpoint của server function có thể truy cập qua mạng.
2. Việc xử lý request có thể làm tiêu thụ CPU quá mức hoặc gây ra lỗi hết bộ nhớ.
3. Tình trạng này có thể làm suy giảm hoặc làm gián đoạn tính sẵn sàng của dịch vụ xử lý React Server Components.

Bằng chứng hiện có phù hợp với uncontrolled resource consumption và allocation of resources without limits or throttling. Hồ sơ cho biết cuộc tấn công không yêu cầu xác thực, có độ phức tạp thấp và không cần user interaction. Cấu trúc request cụ thể, điều kiện parsing, function dễ bị ảnh hưởng và logic cấp phát tài nguyên chưa được công bố, vì vậy không thể xác nhận một exploit path chi tiết hơn.

Lỗ hổng có thể bị khai thác từ xa qua mạng khi server function endpoint được expose và xử lý request từ bên ngoài. Hồ sơ chuẩn hóa cho biết cuộc tấn công không yêu cầu quyền truy cập, không yêu cầu xác thực hoặc user interaction, và có độ phức tạp thấp.

Hồ sơ chuẩn hóa đánh dấu public_exploit là false và không cung cấp trạng thái known_exploited. Dữ liệu CISA ADP được phản ánh trong GCVE ghi nhận exploitation là none. Đây là trạng thái theo phạm vi bằng chứng hiện có, không chứng minh rằng việc khai thác là không thể xảy ra. Không có exploit công khai, campaign, victim hoặc indicator cụ thể nào được xác định trong bằng chứng được cung cấp.

• Kết quả kỹ thuật: request được tạo đặc biệt có thể gây uncontrolled resource consumption, làm CPU sử dụng quá mức hoặc dẫn đến lỗi hết bộ nhớ.
• Phạm vi quyền: hồ sơ cho biết không cần quyền hoặc xác thực để gửi request khai thác và không cần user interaction.
• Tính sẵn sàng: process, worker hoặc dịch vụ xử lý server function có thể bị chậm, bị restart hoặc không đáp ứng khi tài nguyên bị cạn kiệt.
• Giới hạn tác động: bằng chứng hiện có chỉ xác nhận tác động đến availability; không xác nhận khả năng đọc dữ liệu hoặc sửa đổi dữ liệu.
• Phạm vi tổ chức: tác động có thể lan tới các ứng dụng hoặc API phụ thuộc vào server-side React Server Components, nhưng không áp dụng cho client-only React code theo điều kiện trong advisory.

• Request độc hại có thể làm tăng mạnh mức sử dụng CPU hoặc memory của process xử lý React Server Components.
• Dịch vụ có thể phản hồi chậm, bị restart do lỗi hết bộ nhớ hoặc mất availability khi tài nguyên máy chủ bị cạn kiệt.
• Ảnh hưởng vận hành tập trung vào tính sẵn sàng của server function endpoint; bằng chứng hiện có không cho thấy mất confidentiality hoặc integrity.
• Phạm vi thực tế phụ thuộc vào việc deployment có dùng server-side React Server Components và expose các endpoint tương ứng hay không.

1. Nâng cấp các package bị ảnh hưởng lên bản sửa đúng theo từng nhánh: dùng 19.0.8 cho nhánh 19.0.x, 19.1.9 cho nhánh 19.1.x và 19.2.8 cho nhánh 19.2.x.
2. Kiểm tra cả dependency trực tiếp và dependency kéo theo trong lockfile, manifest và artifact triển khai. Việc chỉ kiểm tra package React cấp cao hơn có thể bỏ sót các package react-server-dom-* được cài gián tiếp.
3. Với react-server-dom-parcel 19.0.x, không coi nhánh này là unaffected chỉ vì structured package data của advisory không liệt kê nó. Phần mô tả vendor nêu nhánh này trong phạm vi ảnh hưởng và liệt kê 19.0.8 là bản backport, vì vậy cần nâng cấp lên bản sửa tương ứng nếu package đó được sử dụng, hoặc xác nhận trực tiếp với vendor nếu nhánh này không thể nâng cấp.
4. Kiểm tra các ứng dụng có server function endpoint và React Server Components sau khi cập nhật, sau đó redeploy để bảo đảm process đang chạy package đã sửa.
5. Bằng chứng được cung cấp không nêu một biện pháp giảm thiểu cụ thể thay thế cho việc cập nhật. Các biện pháp giới hạn truy cập hoặc kiểm soát tài nguyên chỉ nên được xem là phòng thủ bổ sung, không phải bản sửa đã được vendor xác nhận.

• Kiểm kê dependency trực tiếp và dependency kéo theo để xác định có cài đặt react-server-dom-webpack, react-server-dom-parcel hoặc react-server-dom-turbopack hay không.
• Đối chiếu version thực tế trong lockfile, manifest và package metadata với các khoảng bị ảnh hưởng: 19.0.0 đến 19.0.7, 19.1.0 đến 19.1.8 và 19.2.0 đến 19.2.7.
• Xác định ứng dụng có dùng server, React Server Components, server function endpoint, framework, bundler hoặc bundler plugin hỗ trợ React Server Components hay không.
• Rà soát các đợt tăng CPU, tăng memory, lỗi hết bộ nhớ, restart process hoặc suy giảm availability xảy ra đồng thời với request đến server function endpoint. Đây là dấu hiệu phòng thủ cần xem xét, không phải IOC đã được vendor xác nhận.
• Không kết luận hệ thống an toàn chỉ vì chưa thấy log hoặc chưa quan sát thấy lỗi tài nguyên.