Hücumçular React Native CLI-dakı Tənqidi Metro4Shell RCE Zəifliyini İstismar Edir

Giriş

Populyar ‘@react-native-community/cli’ npm paketinin Metro Development Server komponentində aşkar edilmiş tənqidi təhlükəsizlik boşluğu aktiv şəkildə istismar edilir. Bu vəziyyət, React Native əsasında mobil tətbiqlər hazırlayan tərtibatçılar üçün ciddi təhlükə yaradır.

Zəifliyin Detalları

Kibertəhlükəsizlik şirkəti VulnCheck-in məlumatına görə, Metro4Shell olaraq da bilinən CVE-2025-11953 kodlu bu boşluğun ilk Exploit cəhdi 2025-ci il dekabrın 21-də qeydə alınıb. CVSS təhlükəsizlik reytinq cədvəlində 9.8 kimi yüksək balla qiymətləndirilən bu zəiflik, uzaqdan və heç bir doğrulama tələb etmədən hücumçulara istənilən kodu (arbitrary code) icra etməyə imkan verən bir RCE (Remote Code Execution) növüdür.

React Native CLI (Command Line Interface) mobil proqramların hazırlanmasında geniş istifadə olunan bir alətdir. Metro Development Server isə React Native layihələrini kompilyasiya edərək onları cihazlarda işləmək üçün optimallaşdıran əsas komponentlərdən biridir. Bu serverdəki boşluq, tərtibatçıların iş mühitlərini hədəf almaqla potensial olaraq daha genişmiqyaslı hücumların qapısını açır.

Təhlükəsizlik Tövsiyələri

Bu cür tənqidi RCE boşluqlarının Exploit edilməsi, sistemlərə nəzarətin tamamilə ələ keçirilməsi, həssas məlumatların oğurlanması və ya daha geniş miqyaslı zərərli kampaniyaların başladılmasına səbəb ola bilər. Tərtibatçılara, riskləri minimuma endirmək üçün istifadə etdikləri paketləri mütəmadi olaraq yeniləmələri və təhlükəsizlik bildirişlərini yaxından izləmələri tövsiyə olunur. Mövcud boşluq üçün yamaq (patch) çıxdığı zaman dərhal tətbiq edilməlidir.

Nəticə

Metro4Shell boşluğunun aktiv istismarı, tərtibat mühitlərinin təhlükəsizliyinə qarşı artan təhdidləri bir daha nümayiş etdirir və proqram təminatı təhlükəsizliyinin mütəmadi olaraq diqqət mərkəzində saxlanılmasının vacibliyini vurğulayır.