CVE-2025-11953
React Native Community CLI OS Command Injection Vulnerability
Beschreibung
CVE-2025-11953 ist eine kritische OS-Command-Injection-Schwachstelle im Metro Development Server, der ueber die React Native Community CLI gestartet wird. Der Metro-Server bindet standardmaessig an externe Netzwerkschnittstellen und exponiert einen Endpunkt, der fuer Command Injection anfaellig ist, wodurch nicht authentifizierte Angreifer im Netzwerk beliebige Befehle auf dem Entwicklungsrechner ausfuehren koennen. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 9.8 (CRITICAL).
Die CISA hat CVE-2025-11953 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der besonders hohe EPSS-Score von 8.42 % (92.2. Perzentil) signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit. Betroffen sind React Native Community CLI Versionen ab 19.0.0 vor 19.1.2 sowie die Versionen 18.0.0 und 20.0.0.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| react-native-community | react native community cli | >= 19.0.0, < 19.1.2; 18.0.0; 20.0.0 |
Referenzen
- https://github.com/react-native-community/cli/commit/15089907d1f1301b22c72d7f68846a2ef20df547(Patch)
- https://jfrog.com/blog/cve-2025-11953-critical-react-native-community-cli-vulnerability(Exploit, Mitigation, Third Party Advisory)
- https://x.com/SzymonRybczak/status/1986199665000566848(Third Party Advisory)
- https://x.com/thymikee/status/1986770875954475375(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-11953(US Government Resource)
- https://www.vulncheck.com/blog/metro4shell_eitw(Exploit, Third Party Advisory)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2025-11953 basiert auf CWE-78 (OS Command Injection), einer der gefaehrlichsten Schwachstellenklassen in der Softwaresicherheit. Bei einer OS Command Injection werden Benutzereingaben ohne ausreichende Bereinigung an eine Betriebssystem-Shell uebergeben, sodass ein Angreifer beliebige Systembefehle einschleusen und ausfuehren kann.
Im Fall der React Native Community CLI wird ein HTTP-Endpunkt des Metro Development Servers exponiert, der eingehende Daten unsicher an Betriebssystembefehle weitergibt. Da der Metro-Server standardmaessig an alle Netzwerkschnittstellen gebunden ist, kann jeder Angreifer im selben Netzwerk diese Schwachstelle ohne Authentifizierung ausnutzen. Auf Windows-Systemen erhaelt der Angreifer zusaetzlich volle Shell-Kontrolle. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-11953 sind fuer betroffene Entwicklungsumgebungen katastrophal. Vertraulichkeit: Ein Angreifer kann ueber die Command Injection auf alle Dateien zugreifen, die dem Entwicklerprozess zugaenglich sind. Dies umfasst Quellcode, Konfigurationsdateien mit API-Schluesseln, SSH-Keys, Umgebungsvariablen und gespeicherte Zugangsdaten. In typischen Entwicklungsumgebungen sind dies hochsensible Assets (C:H).
Integritaet: Der Angreifer kann beliebige Dateien erstellen, aendern oder loeschen, einschliesslich des Quellcodes des Projekts. Supply-Chain-Angriffe werden moeglich, indem der Angreifer Schadcode in die App einschleust, der dann an alle Endbenutzer verteilt wird (I:H). Verfuegbarkeit: Die vollstaendige Kontrolle ueber den Entwicklungsrechner ermoeglicht die Verschluesselung von Daten, die Zerstoerung von Build-Artefakten oder die Kompromittierung der gesamten Entwicklungsinfrastruktur (A:H). Die fehlende Authentifizierung (PR:N) und Benutzerinteraktion (UI:N) in Kombination mit dem Netzwerkzugriff (AV:N) machen automatisierte, grossflaechige Angriffe moeglich. Der EPSS-Score von 8.42 % bestaetigt das hohe Ausnutzungsrisiko.
Exploit-Reifegrad
CVE-2025-11953 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Februar 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score von 8.42 % (92.2. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Es existieren oeffentlich verfuegbare Exploit-Analysen. JFrog hat eine detaillierte technische Analyse mit Exploit-Details und Mitigationsmassnahmen veroeffentlicht. VulnCheck dokumentiert in einem Blog-Beitrag die Ausnutzung in freier Wildbahn unter dem Namen Metro4Shell. Ein Patch steht im GitHub-Repository zur Verfuegung. Die Kombination aus oeffentlichen Exploits, aktiver Ausnutzung und der niedrigen Einstiegshuerde macht diese Schwachstelle besonders dringlich.
Behebung
-
React Native Community CLI aktualisieren: Aktualisieren Sie auf Version 19.1.2 oder hoeher, die den Patch fuer diese Schwachstelle enthaelt. Pruefen Sie Ihre package.json und package-lock.json auf die exakte Version der @react-native-community/cli-Abhaengigkeit. Der Patch-Commit ist auf GitHub verfuegbar.
-
Metro-Server an localhost binden: Konfigurieren Sie den Metro-Bundler so, dass er nur an die lokale Schnittstelle (127.0.0.1) gebunden wird, nicht an alle Netzwerkschnittstellen. Dies verhindert den Zugriff von externen Geraeten und sollte als zusaetzliche Sicherheitsmassnahme auch nach dem Update beibehalten werden.
-
Netzwerksegmentierung fuer Entwicklungsumgebungen: Isolieren Sie Entwicklungsmaschinen in einem separaten Netzwerksegment mit restriktiven Firewall-Regeln. Blockieren Sie eingehende Verbindungen zum Metro-Development-Server-Port (Standard 8081) von nicht vertrauenswuerdigen Netzwerksegmenten.
-
Supply-Chain-Integritaet pruefen: Wenn die verwundbare Version in Produktionsprojekten verwendet wurde, ueberpruefen Sie den Build-Prozess und die Build-Artefakte auf Anzeichen von Manipulation. Stellen Sie sicher, dass keine unautorisierten Aenderungen am Quellcode oder an den Abhaengigkeiten vorgenommen wurden.
-
Zugangsdaten rotieren: Aendern Sie alle Zugangsdaten, API-Schluessel und Tokens, die auf betroffenen Entwicklungsmaschinen gespeichert waren, da diese durch die Command-Injection-Schwachstelle kompromittiert worden sein koennten.
Technische Details
CVE-2025-11953 betrifft die React Native Community CLI in den Versionen ab 19.0.0 vor 19.1.2 sowie die Versionen 18.0.0 und 20.0.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt den hoechstmoeglichen Angriffsvektor: Netzwerkzugriff (AV:N), geringe Komplexitaet (AC:L), keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N).
Der Metro Development Server ist der JavaScript-Bundler, der von der React Native CLI beim Starten einer Entwicklungsumgebung gestartet wird. Standardmaessig bindet dieser Server an 0.0.0.0 (alle Netzwerkschnittstellen), wodurch er von jedem Geraet im selben Netzwerk erreichbar ist. Ein exponierter HTTP-Endpunkt verarbeitet eingehende POST-Anfragen und uebergibt Teile der Anfragedaten unsicher an Betriebssystembefehle. Auf Windows-Systemen erhaelt der Angreifer zusaetzlich die Moeglichkeit, Shell-Befehle mit vollstaendiger Kontrolle ueber die Argumente auszufuehren.
Der Angriff erfordert lediglich, dass sich der Angreifer im selben Netzwerk wie der Entwickler befindet und eine POST-Anfrage an den Metro-Server sendet. Dies macht die Schwachstelle besonders gefaehrlich in Szenarien wie oeffentlichen Wi-Fi-Netzwerken, Co-Working-Spaces oder Unternehmensnetzwerken mit unzureichender Segmentierung. Die Schwachstelle wurde unter dem Namen Metro4Shell bekannt.
Häufig gestellte Fragen
Was ist der Metro Development Server und wer ist betroffen?
Der Metro Development Server ist der JavaScript-Bundler fuer React Native Anwendungen. Er wird automatisch gestartet, wenn Entwickler die React Native CLI verwenden. Betroffen sind alle Entwickler, die React Native Community CLI Version 18.0.0, 19.0.0 bis 19.1.1 oder 20.0.0 einsetzen. Endbenutzer von React-Native-Apps sind nicht direkt betroffen.
Kann die Schwachstelle ueber das Internet ausgenutzt werden?
Die Schwachstelle erfordert Netzwerkzugriff zum Metro-Server, der standardmaessig auf Port 8081 laeuft. In den meisten Faellen ist dies auf das lokale Netzwerk beschraenkt. Wenn jedoch der Entwicklungsrechner direkt mit dem Internet verbunden ist oder Port-Forwarding konfiguriert wurde, ist auch ein Remote-Angriff moeglich.
Warum wird die Schwachstelle Metro4Shell genannt?
Der Name Metro4Shell wurde von Sicherheitsforschern gepraegt und verweist auf die Kombination aus dem Metro-Server als Angriffsvektor und der resultierenden Shell-Ausfuehrung (Command Injection). VulnCheck hat die aktive Ausnutzung unter diesem Namen dokumentiert.
Welche Massnahme hat hoechste Prioritaet?
Die sofortige Aktualisierung auf React Native Community CLI Version 19.1.2 oder hoeher hat hoechste Prioritaet. Als sofortige Abhilfe sollte der Metro-Server so konfiguriert werden, dass er nur an localhost (127.0.0.1) gebunden wird, um den Netzwerkangriffsvektor zu eliminieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.