Хакеры использовали критическую уязвимость в React Native Metro для взлома систем разработки.

[admin]

Хакеры атакуют разработчиков, используя критическую уязвимость CVE-2025-11953 в сервере Metro для React Native, чтобы распространять вредоносные программы для Windows и Linux.


В Windows неавторизованный злоумышленник может использовать эту уязвимость для выполнения произвольных команд операционной системы через POST-запрос. В Linux и macOS уязвимость может привести к запуску произвольных исполняемых файлов с ограниченным контролем параметров.


Metro — это стандартный сборщик JavaScript для проектов React Native, и он необходим для сборки и запуска приложений на этапе разработки.

По умолчанию Metro может подключаться к внешним сетевым интерфейсам и предоставлять HTTP-конечные точки (/open-url), предназначенные только для разработки, для локального использования во время разработки.


Исследователи из компании JFrog, занимающейся разработкой программного обеспечения для обеспечения безопасности цепочки поставок, обнаружили уязвимость и сообщили о ней в начале ноября. После публичного раскрытия информации появилось множество экспериментальных эксплойтов.

В своем сообщении тогда они заявили, что проблема заключалась в том, что HTTP-точка доступа /open-url принимала POST-запросы, содержащие предоставленное пользователем значение URL-адреса, которое могло передаваться в функцию ' open() ' без предварительной очистки.


Уязвимость затрагивает версии @react-native-community/cli-server-api от 4.8.0 до 20.0.0-alpha.2 и была исправлена в версии 20.0.0 и более поздних.


21 декабря 2025 года компания VulnCheck, специализирующаяся на анализе уязвимостей, обнаружила злоумышленника, использующего уязвимость CVE-2025-11953 , известного как Metro4Shell. Эта активность продолжилась 4 и 21 января, когда злоумышленники распространяли те же вредоносные программы.


«В результате эксплуатации уязвимости были получены сложные полезные нагрузки как для Linux, так и для Windows, что демонстрирует, что Metro4Shell предоставляет практичный кроссплатформенный механизм первоначального доступа» — VulnCheck.

Во всех трех атаках исследователи наблюдали доставку одних и тех же закодированных в base-64 полезных нагрузок PowerShell, скрытых в теле HTTP POST-запросов, достигающих уязвимых конечных точек.

После декодирования и запуска полезная нагрузка выполняет следующие действия:

1. Отключите защиту конечных точек, добавив пути исключения Microsoft Defender как для текущего рабочего каталога, так и для системного временного каталога с помощью команды Add-MpPreference.
2. Установите прямое TCP-соединение с инфраструктурой, контролируемой злоумышленником, и отправьте GET-запрос /windows для получения полезной нагрузки следующего этапа.
3. Запишите полученные данные на диск в виде исполняемого файла во временный каталог системы.
4. Запустите загруженный исполняемый файл, используя длинную строку аргументов, предоставленную злоумышленником.

В результате этих атак был получен вредоносный код для Windows, представляющий собой упакованный с помощью UPX бинарный файл на основе Rust с базовой логикой защиты от анализа. На той же инфраструктуре был размещен соответствующий бинарный файл для Linux, что указывает на то, что атаки охватывают обе платформы.


находится около 3500 незащищенных серверов React Native Metro . Согласно данным сканирования с помощью поисковой системы ZoomEye, охватывающей подключенные устройства, сервисы и веб-приложения, в сети

Несмотря на то, что активная эксплуатация уязвимости наблюдается уже более месяца, она по-прежнему имеет низкий балл в системе оценки прогнозирования эксплойтов (EPSS), системе оценки рисков, которая оценивает вероятность эксплуатации проблемы безопасности.


«Организации не могут позволить себе ждать включения KEV в стандарты CISA, отчетов поставщиков или широкого консенсуса, прежде чем предпринимать какие-либо действия», — говорят исследователи.


В отчете VulnCheck содержатся индикаторы компрометации (IoC) сетевой инфраструктуры злоумышленника, а также полезных нагрузок для Windows и Linux.