React2Shell (CVE-2025-55182)

📖 نظرة عامة

هذا المستودع يوثق مفاهيم الأمان التي تم دراستها في غرفة TryHackMe المتعلقة بـ CVE-2025-55182، وهي ثغرة أمنية خطيرة تؤثر على:

• React Server Components (RSC)
• Next.js والأطر القائمة على RSC
• الحزم:
  • react-server-dom-webpack
  • react-server-dom-parcel
  • react-server-dom-turbopack

الخلل يمكن من:

تنفيذ تعليمات برمجية عن بعد دون مصادقة عبر طلب HTTP واحد مُعدل.

هذه المادة لها غرض تعليمي ودفاعي حصري، ولا تحتوي على إجابات أو أعلام أو دليل كامل للمنصة.

🏗️ الهندسة المعمارية المعنية

تدفق مبسط لعرض RSC

[ Navegador ]
       │
       ▼
[ Requisição React Flight ]
       │
       ▼
[ Next.js / RSC no Servidor ]
       │
       ▼
[ Runtime Node.js ]
       │
       ▼
[ Sistema Operacional ]

مكونات الخادم React Server Components، التي تم تقديمها في React 19، تسمح بـ:

• عرض المكونات على الخادم
• تقليل JavaScript في العميل
• أداء وقابلية توسع أفضل

🧠 بروتوكول React Flight

مسؤول عن:

• تسلسل بيانات الخادم
• إلغاء التسلسل لطلبات العميل
• تنفيذ إجراءات الخادم

العلامات ذات الصلة

🚨 CVE-2025-55182 — السبب الجذري

مقطع مفهومي قابل للاستغلال:

moduleExports[metadata[2]]

هذا الوصول في JavaScript:

• يجتاز سلسلة النماذج الأولية
• يمكنه الوصول إلى منشئ Function
• يسمح بتنفيذ تعليمات برمجية عشوائي

سلسلة التأثير

Desserialização insegura
        ↓
Acesso à prototype chain
        ↓
Invocação de Function()
        ↓
Remote Code Execution (RCE)

النتيجة:

اختراق كامل لبيئة التنفيذ.

🔗 تدفق الاستغلال المفاهيمي (مستوى عالٍ)

⚠️ لا توجد خطوات من المعمل — فقط تحليل تقني.

Payload serializado manipulado
            ↓
Processamento pelo React Flight
            ↓
Traversal da prototype chain
            ↓
Criação dinâmica de função JavaScript
            ↓
Execução de código no Node.js

النتائج المحتملة:

• قراءة ملفات حساسة
• الوصول إلى متغيرات البيئة
• تنفيذ أوامر النظام
• الحركة الجانبية في بيئات السحابة

🧪 تحقق تعليمي من السياق

في بيئات اختبار مصرح بها، قد تتضمن التأكيدات الأولية:

id        # usuário do processo
uname -a  # informações do sistema
pwd       # diretório atual
ls -la    # arquivos locais
env       # variáveis de ambiente

هذه الأوامر تخدم فقط لـ:

تأكيد وجود تنفيذ عن بعد، ولا تمثل الإجراء الكامل للغرفة.

🌐 الإصدارات المتأثرة

الضعيفة

React

• 19.0.0
• 19.1.0
• 19.1.1
• 19.2.0

Next.js

• ≥ 14.3.0-canary.77
• Séries 15.x e 16.x anteriores ao patch

المصححة

التحديث إلى:

• 19.0.1
• 19.1.2
• 19.2.1

🛡️ الكشف والمراقبة

مؤشرات الشبكة

علامات محتملة للاستغلال:

• طلبات POST multipart/form-data غير عادية
• رؤوس محددة لـ React Flight
• هياكل متسلسلة مع الوصول إلى سلسلة النماذج الأولية

هذه الأنماط هي:

نادرة في حركة المرور المشروعة، وتعد مؤشرات قوية للهجوم.

أمان نقطة النهاية و CI/CD

ممارسات دفاعية جيدة:

• تدقيق التبعيات react-server-dom-*
• تحديد الإصدارات الضعيفة
• المراقبة في خطوط البناء

الكشف المبكر يقلل بشكل كبير من المخاطر في الإنتاج.

📉 تأثير الأمان

CVE-2025-55182 حرج لأنه:

• لا يتطلب مصادقة
• يتمتع بموثوقية عالية للاستغلال
• يؤثر على تقنيات مستخدمة على نطاق واسع

مما يدل على أن:

أخطاء إلغاء التسلسل الدقيقة يمكن أن تؤدي إلى RCE كامل.

📚 أهداف التعلم

الغرفة تركز على:

• الهندسة الداخلية لـ React Server Components
• سلاسل حقيقية لـ تنفيذ التعليمات البرمجية عن بعد
• استراتيجيات الكشف والتخفيف
• العلاقة بين الواجهة الأمامية الحديثة و أمان الخلفية

⚠️ الاستخدام الأخلاقي

محتوى مخصص لـ:

• التعليم في مجال الأمن السيبراني
• البحث المسؤول
• التعزيز الدفاعي

استغلال الأنظمة دون إذن غير قانوني.

🏁 الخاتمة

React2Shell (CVE-2025-55182) يوضح أن:

التجريدات الحديثة للأطر يمكن أن تخفي حدودًا أمنية حرجة.

فهم هذه الطبقات ضروري لـ:

• مختبري الاختراق
• المدافعين (SOC / الفريق الأزرق)
• مهندسي البرمجيات الآمنة