Критическая уязвимость React2Shell угрожает перенаправлением трафика через скомпрометированные NGINX-серверы

Злоумышленники эксплуатируют React2Shell для перехвата веб-трафика через NGINX-серверы

Эксперты Datadog Security Labs выявили активную киберкампанию, нацеленную на NGINX-инсталляции и панели управления, такие как Baota (BT). Атакующие перенаправляют веб-трафик через инфраструктуру, контролируемую злоумышленниками. Для компрометации серверов и манипуляции трафиком используется критическая уязвимость React2Shell (CVE-2025-55182) с CVSS-оценкой 10.0.

Технические детали

Атака эксплуатирует CVE-2025-55182 — уязвимость удаленного выполнения кода (RCE) в React2Shell, компоненте, используемом в некоторых конфигурациях NGINX. После успешной эксплуатации злоумышленники получают несанкционированный доступ к NGINX-серверам, что позволяет им:

• Изменять конфигурации серверов для перенаправления трафика на вредоносные конечные точки.
• Внедрять вредоносные скрипты в веб-ответы, способствуя дальнейшим атакам, таким как фишинг или распространение вредоносного ПО.
• Компрометировать панели управления, например, Baota (BT) — популярную панель управления веб-хостингом, для поддержания постоянного доступа.

Специалисты Datadog Security Labs отмечают, что атакующие активно сканируют уязвимые инстансы NGINX, что подчеркивает необходимость срочного обновления уязвимых систем.

Анализ последствий

Эксплуатация CVE-2025-55182 несет серьезные риски для организаций, включая:

• Перехват трафика: Злоумышленники могут перехватывать, изменять или перенаправлять веб-трафик, что приводит к утечке данных или атакам типа «человек посередине» (MITM).
• Ущерб репутации: Скомпрометированные серверы могут непреднамеренно распространять вредоносный контент, подрывая доверие пользователей.
• Регуляторные последствия: Несанкционированный доступ или утечка данных могут привести к нарушениям требований регуляторов, особенно в рамках таких стандартов, как GDPR или CCPA.

Рекомендации

Специалистам по безопасности рекомендуется предпринять следующие шаги для снижения рисков:

1. Немедленно установить обновления: Обновите NGINX и связанные компоненты до последних версий, чтобы устранить уязвимость CVE-2025-55182.
2. Провести аудит конфигураций: Проверьте настройки NGINX и панели Baota (BT) на наличие несанкционированных изменений, особенно в правилах маршрутизации трафика.
3. Мониторинг подозрительной активности: Разверните инструменты сетевого мониторинга для обнаружения необычных паттернов трафика или попыток несанкционированного доступа.
4. Изолировать скомпрометированные системы: При обнаружении эксплуатации уязвимости изолируйте пораженные серверы, чтобы предотвратить распространение атаки внутри сети.
5. Обучить заинтересованные стороны: Убедитесь, что ИТ-команды и специалисты по безопасности осведомлены об угрозе и готовы реагировать на потенциальные инциденты.

Эксперты Datadog Security Labs продолжают отслеживать эту кампанию и будут предоставлять обновления по мере появления новой информации. Организациям настоятельно рекомендуется уделить первоочередное внимание мерам по устранению уязвимости для защиты своей инфраструктуры от этой критической угрозы.