山石安服｜针对突发通用严重漏洞的安全解决方案

发布日期： 2025-12-11 阅读量： 作者： 小编

　　React和Next.js框架近期披露了CVE-2025-55182及CVE-2025-66478两个10.0分严重漏洞，漏洞源于React Server Components (RSC) 的Flight协议在反序列化用户输入时存在逻辑缺陷。攻击者无需任何认证，仅需向暴露的服务器函数端点发送一个精心构造的HTTP请求，即可实现远程代码执行RCE攻击，完全控制服务器。受影响版本与修复版本如下：

山石安服｜针对突发通用严重漏洞的安全解决方案(图1)

　　24-72小时内的目标是立即止血、降低被攻击风险，并为彻底修复争取时间，建议按识别-升级-监控-防护四步执行。

　　1. 资产识别与影响评估：立刻扫描所有线上应用和代码仓库，识别使用了受影响React/Next.js版本的项目。定位风险资产，优先排查所有对外暴露、可公开访问的Next.js应用App Router。可利用运行时应用安全工具判断生产环境中实际加载和执行的RSC模块，精准定位风险点。

　　2. 应用升级与验证：将所有受影响依赖升级至对应的安全版本。注意，仅更新package.json并重装依赖是不够的，必须重新构建和部署应用程序。升级后可联系山石网科安服团队，通过专门的检测工具验证漏洞是否已修复。

　　3. 部署临时防护与监控：在无法立即升级的窗口期，立即在Web应用防火墙WAF上启用针对此漏洞的防护规则，建议启用如“Server Side Template Injection”和“Node.js Injection”等通用规则进行防御。加强日志监控，立即审查服务器日志，特别是RSC端点的访问日志，监控是否有异常请求、高频错误或执行超时等攻击迹象。

　　1. 建立运行时应用自我保护：部署RASP等能够监控应用运行时行为的解决方案。这类方案可检测异常的反序列化操作或利用vm、child_process等危险模块的行为，在漏洞被利用时实时告警或拦截。

　　2. 构建智能WAF防护层：配置WAF不仅要依赖CVE特定规则，更应启用基于行为与AI异常检测的防护。例如，监控RSC请求中参数内容、请求大小的异常变化，识别未知的攻击变种。

　　3. 硬化开发与部署流程：在CI/CD流水线中集成SCA工具，对第三方依赖进行自动化漏洞扫描和许可策略控制。在构建阶段进行安全扫描，确保无已知高危漏洞被发布至生产环境。运行Node.js应用的服务器应遵循最小权限原则，避免使用root权限，以限制漏洞成功利用后的影响范围。

　　4. 加强供应链安全审计：周期性审计package-lock.json等依赖锁文件，确保供应链中不存在已被遗忘的、携带高危漏洞的旧项目。

　　山石网科能够为客户提供全面、专业、高效的测试与加固服务，本方案采用多重措施保障测试质量，并确保测试过程符合国内外相关标准和法规要求。

　　1. 攻击修复结合：使用攻击树分析针对关键系统的复杂攻击路径，使用CVSS评分帮助客户更客观地评价攻击的难易程度和潜在影响。结合攻击与修复路径，精确衡量不同防护策略的实际效用。

　　2. 专业测试团队：山石安全团队持有各类安全及项目管理认证，多次获得国家级赛事冠军，多次在Black Hat、DEF CON等国际安全会议上发表安全研究成果，具备深厚的技术积累和行业经验，在安全领域拥有丰富的实战经验，有效降低技术沟通成本。

　　3. 持续改进机制：采用多种测试方法进行交叉验证，建立持续改进机制，不断优化测试方案和方法，且持续研究新型攻击的检测和防护方法，在测试方案融入行业最佳实践和经验，提高测试质量，确保测试的先进性、实用性、全面性和准确性。

　　4. 专业实验环境：山石拥有专业的软硬件安全测试实验室环境，可提供各类工控、物联、无线电、嵌入式、电力系统等实验室测试服务，且山石自研的安全工具实现测试的long8官方入口自动化和智能化，覆盖软硬件全流程测试需求。

　　5. 合规标准测试：山石遵循国内外标准和行业规范，确保测试的权威性和一致性。以标准规范作为技术依据和评估准则，根据被测系统的特点选择合适的标准，将标准要求转化为具体的测试用例。

　　面对突发的高威胁通用漏洞，立即升级是唯一彻底的解决方案。建议按照前面说的紧急响应四步法快速行动。从长远看，企业应超越依赖升级的被动模式，通过构建运行时安全+智能边界防护+安全研发生命周期的纵深防御体系，才能有效应对未来的未知威胁。

　　行业研究表明，在开发早期实施安全测试能够显著降低后期漏洞修复成本，能够避免后期昂贵的硬件变更和软件重构。提前评估已识别漏洞被利用后对安全、用户隐私、品牌声誉造成的潜在影响，测试验证现有安全防护机制的有效性。

　　山石网科是中国网络安全行业的技术创新领导厂商，由一批知名网络安全技术骨干于2007年创立，并以首批网络安全企业的身份，于2019年9月登陆科创板（股票简称：山石网科，股票代码：688030）。

　　现阶段，山石网科掌握30项自主研发核心技术，申请560多项国内外专利。山石网科于2019年起，积极布局信创领域，致力于推动国内信息技术创新，并于2021年正式启动安全芯片战略。2023年进行自研ASIC安全芯片的技术研发，旨在通过自主创新，为用户提供更高效、更安全的网络安全保障。目前，山石网科已形成了具备“全息、量化、智能、协同”四大技术特点的涉及基础设施安全、云安全、数据安全、应用安全、安全运营、工业互联网安全、信息技术应用创新、AI安全、安全服务、安全教育等10大类产品及服务，50余个行业和场景的完整解决方案。

上一篇: 网络安全龙头公司值得收藏!(名单)

下一篇: 佳缘科技涨700%成交额1462亿元近5日主力净流入155亿

龙八·long8(国际)唯一官方网站-龙8未来可期

山石安服｜针对突发通用严重漏洞的安全解决方案

随便看看