В BI.ZONE зафиксировали атаки на РФ с помощью уязвимости в React

МОСКВА, 15 декабря. /ТАСС/. Уязвимость в компонентах популярной JavaScript-библиотеки для создания пользовательских интерфейсов React уже используют против российских компаний, сообщили ТАСС в компании BI.ZONE. Ее специалисты помогли как минимум трем предприятиям заблокировать атаки.

"Мишенью стали страховая компания, ретейлер, специализирующийся на продаже автозапчастей, а также IT-компания, которая занимается разработками для различных отраслей, включая органы государственного управления", - сообщили в BI.ZONE. Ранее эта же компания сообщала ТАСС, что под ударом из-за бреши в React находятся до 25 тыс. российских сайтов (выстроенных на ее технологии).

Хакеры, по наблюдениям BI.ZONE, пытались в конечном счете установить всем жертвам майнер криптовалюты, но были и попытки развертывания ботнетов в системах одной из компаний.

О React и выявленном недостатке

На React можно писать и собирать сложные интерфейсы, состоящие из отдельных кусков кода, или "компонентов". К примеру, можно создавать сайты, приложения или игры с разными внедренными в них опциями, которые становятся взаимосвязанными, и поддерживать их.

Уязвимость была найдена в React Server Components - типе компонентов, представленных в 2020 году, которые для ускорения процесса исполняются на сервере, в отличие от клиентских компонентов (исполняются в браузере). Брешь получила оценку в максимальные 10 из 10 баллов по шкале их оценки, позволяя хакеру без аутентификации выполнить произвольный код на уязвимом сервере.

Глава отдела экспертизы MaxPatrol VM в компании Positive Technologies Егор Подмоков говорил ТАСС, что для этого хакеру нужно было бы лишь составить HTTP-запрос и иметь приложение с функциями для исполнения кода, что также "делает уязвимыми вообще все фреймворки, основанные на React". Уязвимость фактически "дает полный контроль над сервером злоумышленнику", предупреждал он.