CVE-2025-55182 und CVE-2025-66478 Schwachstellenprüfer

Ein nicht-intrusives Erkennungstool zur Identifizierung anfälliger React Server Component (RSC)-Implementierungen, die von CVE-2025-55182 (React) und CVE-2025-66478 (Next.js) betroffen sind. Dieses Tool führt eine aktive Erkennung mit harmlosen, nicht schädlichen Payloads durch, um festzustellen, ob ein Server anfällig ist, ohne schädlichen Code auszuführen.

Überblick

CVE-2025-55182 und CVE-2025-66478 sind kritische nicht authentifizierte Remote-Codeausführungs-Schwachstellen (RCE) im React Server Components "Flight"-Protokoll. Diese Schwachstellen betreffen:

• React: react-server-dom Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0
• Next.js: Versionen 14.3.0-canary, 15.x und 16.x (App Router)

Die Schwachstellen beruhen auf unsicherer Deserialisierung in der RSC-Payload-Verarbeitungslogik, die es von Angreifern kontrollierten Daten erlaubt, die serverseitige Ausführung zu beeinflussen. Standardkonfigurationen sind anfällig – eine mit create-next-app erstellte Standard-Next.js-App kann ohne Codeänderungen ausgenutzt werden.

Funktionsweise

Dieses Tool führt eine aktive Schwachstellenerkennung durch:

1. Senden harmloser Test-Payloads, die die anfälligen Codepfade auslösen, ohne bösartigen Code auszuführen
2. Analysieren von Fehlerantworten auf eindeutige Signaturen, die anzeigen, ob der anfällige oder der gepatchte Codepfad erreicht wurde
3. Bereitstellen von Vertrauensstufen (HIGH, MEDIUM, LOW) basierend auf den gefundenen Beweisen

Das Tool verwendet drei Erkennungsmethoden:

• $F-Typ (Server-Referenz): Testet den loadServerReference-Codepfad
• $L-Typ (Lazy): Testet den arrayBuffer-Codepfad
• Die assetnote-Erkennungsmethode

Wichtig: Dieses Tool führt KEINEN schädlichen Code aus. Es sendet nur sorgfältig konstruierte harmlose Payloads, die dazu bestimmt sind, Fehlerantworten auszulösen, die den Schwachstellenstatus des Servers offenlegen.

Grundlegende Verwendung

python react2shell_scanner.py --target https://example.com

Mit benutzerdefinierter Aktions-ID

python react2shell_scanner.py --target https://example.com --action-id YOUR_ACTION_ID

Ausführliche Ausgabe

python react2shell_scanner.py --target https://example.com --verbose

Befehlszeilenargumente

Beispielausgabe

Anfälliger Server

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: workers
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: arraybuffer

[+] Result:
[!] Status:     LIKELY VULNERABLE
[!] Confidence: HIGH
[!] Evidence:   workers
[!] Details:    Server reached loadServerReference (Flight $F deserialization bypass)

[!] RECOMMENDATION: Upgrade to patched version
======================================================================

Gepatchter Server

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: could not find the module
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: in the react server manifest

[+] Result:
[+] Status:     LIKELY NOT VULNERABLE
[+] Confidence: HIGH
[+] Evidence:   could not find the module
[+] Details:    Server rejected payload with security error (patched)
======================================================================

Erkennungsmethodik

Schwachstellensignaturen

Das Tool sucht nach diesen Fehlermustern, die auf eine Schwachstelle hinweisen:

• workers – Server hat loadServerReference erreicht (HOHE Vertrauensstufe)
• arraybuffer – Server hat den $L-Typ-Handler erreicht (HOHE Vertrauensstufe)
• cannot read properties of null (reading 'id') – Server hat loadServerReference mit null-Metadaten erreicht (HOHE Vertrauensstufe)
• entries – Server Action hat ein deserialisiertes Objekt anstelle von FormData erhalten (MITTELERE Vertrauensstufe)
• temporary client reference – Server hat einen $T-Typ-Referenz verarbeitet (MITTELERE Vertrauensstufe)

Patch-Signaturen

Diese Fehlermuster zeigen an, dass der Server gepatcht ist:

• could not find the module
• in the react server manifest
• Invalid server reference
• Server reference not found
• Unexpected token
• is probably a bug in the react server components bundler

Betroffene Produkte

Andere Frameworks, die RSC verwenden, können ebenfalls betroffen sein:

• Vite RSC-Plugin
• Parcel RSC-Plugin
• React Router RSC-Vorschau
• RedwoodSDK
• Waku

Abhilfe

Sofortiges Handeln erforderlich: Aktualisieren Sie auf gepatchte Versionen:

• React: Aktualisieren Sie auf react-server-dom 19.0.1, 19.1.2 oder 19.2.1
• Next.js: Aktualisieren Sie auf die neueste gepatchte Version (siehe Tabelle oben)
• Andere RSC-Frameworks: Überprüfen Sie offizielle Kanäle auf Updates bezüglich gebündelter react-server-Versionen

Sicherheitshinweis

Dieses Tool ist für defensive Sicherheitstests und Schwachstellenbewertungen konzipiert. Es verwendet nur harmlose Payloads, die keinen schädlichen Code ausführen. Beachten Sie jedoch:

• Verwenden Sie dieses Tool nur auf Systemen, die Ihnen gehören oder für die Sie ausdrückliche Testberechtigung haben
• Das Tool kann Fehlerprotokolle auf dem Zielserver erzeugen
• Verwenden Sie es verantwortungsvoll und in Übereinstimmung mit geltenden Gesetzen und Vorschriften

Haftungsausschluss

Dieses Tool wird "wie besehen" ohne Gewährleistung bereitgestellt. Die Autoren sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Stellen Sie sicher, dass Sie vor dem Testen von Systemen die entsprechende Genehmigung haben.