Metro4Shell: Attacchi a Sviluppatori React Native sfruttano CVE-2025-11953

Analisi Tecnica: Dettagli Tecnici Approfonditi

La vulnerabilità CVE-2025-11953, soprannominata "Metro4Shell", interessa il server Metro, componente essenziale per la gestione e la compilazione di progetti React Native. La vulnerabilità risiede nell'endpoint HTTP `/open-url`, che accetta richieste POST contenenti un URL fornito dall'utente, il quale viene passato non sanificato alla funzione `open()`. Questo permette a un attaccante non autenticato di eseguire comandi arbitrari sul sistema operativo Windows, mentre su Linux e macOS consente l'esecuzione di eseguibili con un controllo limitato sui parametri.

La vulnerabilità colpisce le versioni di `@react-native-community/cli-server-api` comprese tra la versione 4.8.0 e la 20.0.0-alpha.2. La correzione è stata implementata a partire dalla versione 20.0.0.

Meccanismo di Sfruttamento

L'attività di sfruttamento osservata, iniziata il 21 dicembre 2025 e proseguita fino al 21 gennaio 2026, ha comportato l'invio di richieste HTTP POST a endpoint esposti. Il corpo della richiesta conteneva un payload PowerShell codificato in Base64. Una volta decodificato ed eseguito, il payload esegue le seguenti azioni:

• Disabilita le protezioni endpoint aggiungendo percorsi di esclusione per Microsoft Defender, sia per la directory di lavoro corrente che per la directory temporanea del sistema, tramite il comando `Add-MpPreference`.
• Stabilisce una connessione TCP raw a un'infrastruttura controllata dall'attaccante e invia una richiesta GET a `/windows` per recuperare il payload di secondo stadio.
• Scrive i dati ricevuti su disco come file eseguibile nella directory temporanea del sistema.
• Esegue il binario scaricato con una stringa di argomenti fornita dall'attaccante.

Il payload Windows recuperato è un binario basato su Rust, compresso con UPX e dotato di logica anti-analisi di base. La stessa infrastruttura ospita un binario "linux" corrispondente, indicando che l'attacco è mirato a entrambe le piattaforme.

Esposizione e Rischio

Secondo scansioni effettuate con il motore di ricerca ZoomEye, sono attualmente presenti circa 3.500 server React Native Metro esposti online. Nonostante l'attività di sfruttamento sia stata osservata per oltre un mese, la vulnerabilità mantiene un punteggio basso nel sistema di valutazione del rischio EPSS. Questo suggerisce che, sebbene l'attacco sia in corso, la probabilità di sfruttamento potrebbe essere sottostimata, data la vasta superficie di attacco rappresentata dai server esposti.

Si raccomanda alle organizzazioni di adottare misure correttive immediate, indipendentemente dall'inclusione della vulnerabilità nei report di CISA o nelle comunicazioni dei fornitori, al fine di mitigare il rischio di compromissione.

Contesto: DI MERCATO/SICUREZZA: Dati, Trend Correlati, Impatto sul Settore

L'attuale panorama della sicurezza informatica è caratterizzato da una crescente sofisticazione degli attacchi, come evidenziato dalla recente compromissione di server Metro per React Native, vulnerabile tramite la falla CVE-2025-11953, soprannominata "Metro4Shell". Questa vulnerabilità consente a un attaccante non autenticato di eseguire comandi arbitrari sul sistema operativo Windows, mentre su Linux e macOS permette l'esecuzione di eseguibili con un controllo limitato dei parametri.

Metro, in quanto bundler JavaScript predefinito per progetti React Native, è un componente essenziale per lo sviluppo e l'esecuzione di applicazioni. La sua configurazione predefinita, che espone endpoint HTTP di sviluppo (/open-url) tramite interfacce di rete esterne, rappresenta un vettore di attacco significativo.

L'attività malevola, iniziata il 21 dicembre 2025 e protrattasi fino al 21 gennaio, ha comportato la distribuzione di payload dannosi, codificati in base64, attraverso richieste HTTP POST. Questi payload, una volta decodificati ed eseguiti, disabilitano protezioni endpoint (tramite l'aggiunta di percorsi di esclusione per Microsoft Defender), stabiliscono connessioni TCP a infrastrutture controllate dall'attaccante per recuperare payload di secondo stadio, scrivono dati su disco come eseguibili e infine eseguono questi binari con stringhe di argomenti fornite dall'attaccante.

L'analisi dei payload rivela l'utilizzo di binari scritti in Rust, compressi con UPX e dotati di logiche anti-analisi, indicando un'operazione mirata a colpire sia sistemi Windows che Linux. La presenza di un'infrastruttura dedicata alla distribuzione di payload specifici per entrambe le piattaforme suggerisce una campagna coordinata.

Secondo scansioni effettuate tramite il motore di ricerca ZoomEye, sono attualmente esposti online circa 3.500 server React Native Metro. Questo dato sottolinea la vasta superficie di attacco potenziale e l'urgenza di mitigare la vulnerabilità.

Nonostante l'attività di sfruttamento sia stata osservata per oltre un mese, la vulnerabilità mantiene un punteggio basso nel sistema di valutazione del rischio EPSS. Questo evidenzia una discrepanza tra la reale minaccia e la percezione del rischio, e sottolinea l'importanza di un'azione proattiva da parte delle organizzazioni, indipendentemente dalla presenza di comunicazioni ufficiali da parte di CISA o dei fornitori.

La situazione attuale impone un'attenzione particolare alla gestione delle configurazioni di sviluppo, alla segmentazione della rete e all'implementazione di sistemi di rilevamento delle intrusioni in grado di identificare attività anomale. La rapida evoluzione dell'infrastruttura IT richiede un approccio automatizzato e reattivo per garantire la sicurezza e la resilienza dei sistemi.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Un'analisi recente ha evidenziato un'attività di attacco in corso che sfrutta una vulnerabilità critica, identificata come CVE-2025-11953, nel server Metro, componente essenziale per progetti React Native. Questa vulnerabilità, soprannominata "Metro4Shell", consente a un attaccante non autenticato di eseguire comandi arbitrari sul sistema operativo Windows e di eseguire eseguibili con controllo limitato su sistemi Linux e macOS.

La vulnerabilità risiede nell'endpoint HTTP `/open-url`, che accetta richieste POST contenenti un URL fornito dall'utente, il quale viene passato alla funzione `open()` senza una corretta sanificazione. Questo permette all'attaccante di iniettare comandi malevoli. Le versioni interessate sono quelle di `@react-native-community/cli-server-api` comprese tra 4.8.0 e 20.0.0-alpha.2; la vulnerabilità è stata risolta a partire dalla versione 20.0.0.

Implicazioni e Rischi:

• Compromissione del Sistema: L'esecuzione di comandi arbitrari può portare alla compromissione completa del sistema, inclusa la perdita di dati, l'installazione di malware e l'accesso non autorizzato.
• Diffusione del Malware: I payload osservati disabilitano le protezioni endpoint, in particolare Microsoft Defender, tramite l'aggiunta di percorsi di esclusione, facilitando l'installazione di malware aggiuntivo.
• Ampia Superficie di Attacco: Secondo i dati raccolti tramite il motore di ricerca ZoomEye, sono attualmente esposti online circa 3.500 server React Native Metro. Questa ampia presenza aumenta significativamente la superficie di attacco potenziale.

Raccomandazioni Pratiche:

• Aggiornamento Immediato: La misura più importante è l'aggiornamento immediato della libreria `@react-native-community/cli-server-api` alla versione 20.0.0 o successiva.
• Disabilitazione Endpoint Pubblici: Se possibile, disabilitare l'endpoint `/open-url` o configurarlo in modo da non essere accessibile da reti esterne. Questo limita drasticamente la possibilità di attacchi da remoto.
• Monitoraggio della Rete: Implementare un sistema di monitoraggio della rete per rilevare attività sospette, come richieste HTTP POST verso l'endpoint vulnerabile.
• Segmentazione della Rete: Segmentare la rete per isolare i server di sviluppo e limitare l'impatto di una potenziale compromissione.
• Valutazione del Rischio: Anche se l'EPSS assegna un punteggio basso alla vulnerabilità, la sua attiva sfruttamento richiede un'attenta valutazione del rischio e l'adozione di misure preventive.

È fondamentale che gli sviluppatori e gli investitori prendano sul serio questa minaccia e implementino le misure di mitigazione raccomandate per proteggere i propri sistemi e dati. L'attesa di comunicazioni ufficiali o di un'inclusione nel KEV di CISA non deve ritardare l'adozione di contromisure immediate.

Previsione futura netta basata sui fatti

L'attuale scenario di sfruttamento della vulnerabilità CVE-2025-11953, denominata "Metro4Shell", presenta implicazioni significative per la sicurezza delle applicazioni React Native. L'osservazione di attacchi persistenti, con l'utilizzo di payload identici e mirati sia a sistemi Windows che Linux, indica una campagna ben strutturata e con obiettivi specifici.

Nonostante il basso punteggio EPSS (Exploit Prediction Scoring System), la sua persistenza nel tempo e la relativa facilità di sfruttamento, come evidenziato dalla presenza di circa 3.500 server React Native Metro esposti online, rendono la vulnerabilità un vettore di attacco concreto e potenzialmente diffuso.

La previsione futura più probabile è un aumento dell'attività malevola, con possibili evoluzioni nelle tecniche di offuscamento dei payload e nell'espansione degli obiettivi. È plausibile che, una volta consolidata la conoscenza dello sfruttamento, la vulnerabilità venga impiegata in attacchi più sofisticati, come ad esempio:

• Movimento laterale all'interno delle reti: L'accesso iniziale tramite la vulnerabilità potrebbe essere utilizzato per compromettere ulteriori sistemi all'interno dell'infrastruttura.
• Integrazione con altre tecniche di attacco: Lo sfruttamento potrebbe essere combinato con phishing, ingegneria sociale o altre vulnerabilità per massimizzare l'impatto.
• Sfruttamento mirato: Gli attaccanti potrebbero concentrarsi su organizzazioni specifiche, come quelle che sviluppano applicazioni critiche o che gestiscono dati sensibili.

La raccomandazione fondamentale è l'adozione immediata di misure correttive, ovvero l'aggiornamento delle versioni interessate a quelle che risolvono la vulnerabilità (versioni 20.0.0 e successive). Parallelamente, è essenziale rafforzare i controlli di sicurezza, come la segmentazione della rete, il monitoraggio del traffico in uscita e l'implementazione di sistemi di rilevamento delle intrusioni. La proattività e l'adozione di un approccio "zero trust" sono imperativi per mitigare il rischio associato a questa e a future vulnerabilità.