Ein nicht-intrusiver Oberflächenscanner für CVE-2025-55182 (RCE in React Server Components). Erkennt exponierte RSC-Endpunkte in React-19- und Next.js-Anwendungen.

Dieses Tool ist ein Surface-Detektor. Es erkennt, ob das RSC-Protokoll exponiert und aktiv ist. Das Auffinden eines exponierten Endpunkts ist die notwendige Voraussetzung, um die Angriffsfläche zu identifizieren, auf der eine Prototype-Pollution-Kette versucht werden könnte.

🛡️ Warum diesen Surface-Detektor verwenden?

• Die meisten öffentlichen PoCs und Scanner erzeugen in Produktionsumgebungen False Negatives, weil sie in vier häufige Fallen tappen:

• Exploit-Starre: Sie versuchen, bestimmte Gadgets (wie vm oder child_process) auszuführen, die durch Whitelists blockiert werden, oder verlassen sich auf hartkodierte IDs (z. B. "id":"vm"), die gegen minifizierte Webpack-Builds fehlschlagen.

• Root-Weiterleitungen: Ein POST auf / bei Next.js löst häufig eine 307/308-Weiterleitung aus (z. B. zu /login), wodurch der POST-Body verloren geht oder in GET umgewandelt wird, bevor der Server ihn verarbeitet.

• Transport-Mismatch: Viele Scanner senden Payloads als text/plain oder rohes JSON. Strikte Next.js Server Actions erfordern oft eine multipart/form-data-Kapselung. Ist das Format falsch, gibt der Server 404/200 zurück, ohne den verwundbaren Parser jemals zu triggern.

• WAF-Blindheit: Standardtools sehen ein 403 Forbidden und geben auf. Sie unterscheiden nicht zwischen einem globalen IP-Block und einem spezifischen Regel-Filter und verpassen so Gelegenheiten, die WAF mithilfe von Encoding- oder Padding-Techniken zu umgehen.

Dieser Scanner löst alle drei Herausforderungen:

✅ Intelligentes Path Probing: Testet automatisch zufällige, nicht existierende Pfade (z. B. /x7z9q2), um Root-Weiterleitungen (307/308) zu umgehen und den Next.js App Router zu zwingen, den Request-Kontext zu verarbeiten.

✅ Strikter Transport (Multipart): Verwendet multipart/form-data-Kapselung statt Klartext. Dies behebt False Negatives bei strikten Server-Action-Endpunkten, die andernfalls 404 zurückgeben.

✅ WAF-Differenzialanalyse: Unterscheidet zwischen globalen Blöcken ([BLOCKED]) und spezifischem Regel-Filtering ([FILTERED]). Wenn das Backend das Protokoll erlaubt, aber den Payload blockiert, stuft der Scanner das Ziel als lohnend ein.

✅ Auto-Bypass-Modus: Enthält eine optionale --bypass-Engine, die bei [FILTERED]-Zielen automatisch Umgehungstechniken (Unicode-Escapes, Whitespace-Mutation, Junk-Padding) versucht.

✅ Gehärtete Erkennung: Erkennt „Silent Crashes" ([SUSPICIOUS]) auf Enterprise-Servern, die X-Powered-By-Header entfernen, und identifiziert den Assetnote-303-See-Other-Weiterleitungs-Fingerprint.

✅ Aktives Fingerprinting: Verwendet einen spezialisierten Payload (["$1:aa:aa"]), um den einzigartigen React-19-RSC-„Digest"-Fehler auszulösen und zu bestätigen, dass der Parser aktiv ist – auch ohne vollständige RCE.

🚀 Installation

1. Klonen Sie das Repository:

   root@kitploit:~

   git clone https://github.com/fatguru/CVE-2025-55182-scanner.git
   cd CVE-2025-55182-scanner
   
   

2. Installieren Sie die Abhängigkeiten (empfohlen in einer virtuellen Umgebung):

   root@kitploit:~

   pip install -r requirements.txt
   

💻 Verwendung

Basis-Scan

Prüfen Sie eine einzelne URL. Hinweis: Stellen Sie sicher, dass Sie auf den korrekten Anwendungspfad zeigen (z. B. /dashboard, /login) und nicht nur auf die Root-Domain, da Next.js-App-Router-Endpunkte pfadspezifisch sind.

Bulk-Scan

Scannt eine Liste von URLs aus einer Datei (eine URL pro Zeile). Dies ist die empfohlene Strategie, um bestimmte Pfade nicht zu übersehen.

Unsicherer Modus (Neu)

Ignoriert SSL-/TLS-Zertifikatsfehler (nützlich für IP-basiertes Scannen, lokale Labore oder selbstsignierte Zertifikate).

Scan mit benutzerdefinierten Headern (WAF-Bypass / Authentifizierung)

Neu in v2.1: Verwenden Sie das --header-Flag, um Session-Cookies oder Tokens zu übergeben, wenn die App hinter einer Authentifizierung oder einer WAF liegt, die bestimmte Header erfordert.

Optionen

📊 Interpretation der Ergebnisse (v2.5)

[EXPOSED] | 🔴 (Rot) | Verwundbar

Der Server hat den Payload verarbeitet und einen React-19-Digest-Fehler ODER eine Action-Weiterleitung (303) zurückgegeben. Hohe Konfidenz für eine exponierte Oberfläche.

[BYPASSED] | 🟠 (Orange) | WAF umgangen

Erfolg! Der Scanner hat zunächst einen Filter erkannt, ihn jedoch mithilfe von Mutationstechniken (z. B. Padding/Unicode) erfolgreich umgangen, um die Schwachstelle auszulösen.

[SUSPICIOUS] | 🟡 (Gelb) | Warnung

Der Server ist beim Parsen des Payloads abgestürzt (500). Deutet auf exponierte Serialisierungslogik hin, auch auf gehärteten Zielen, die X-Powered-By-Header entfernen.

[FILTERED] | 🔵 (Blau) | WAF-Regel erkannt

Der Server akzeptiert RSC-Traffic (harmloser Payload wurde durchgelassen), aber eine spezifische WAF-Regel hat den Exploit-Payload blockiert. Das Ziel ist hinter der WAF erreichbar. Verwenden Sie --bypass, um eine Umgehung zu versuchen.

[INFO] | 🔵 (Cyan) | Protokoll erkannt

Der Server spricht RSC (text/x-component), hat den Payload jedoch ordnungsgemäß behandelt. Vermutlich gepatcht oder Standardverhalten.

[BLOCKED] | 🟣 (Magenta) | Globaler WAF-Block

Alles wurde blockiert (403/406), einschließlich des harmlosen Handshakes. Die WAF blockiert das Protokoll vollständig oder Ihre IP.

[SAFE] | 🟢 (Grün) | Sauber

Der Server gab 404/200 zurück, ignorierte jedoch RSC-Header/Multipart-Bodies auf allen getesteten Pfaden.

🛠️ Nuclei-Vorlage (https://github.com/projectdiscovery/nuclei)

Eine auf dieser Erkennungslogik basierende Nuclei-Vorlage ist in diesem Repository enthalten: cve-2025-55182-detection.yaml.

v2.5-Changelog (Haupt-Update)

• WAF-Bypass-Modus: Neues --bypass-Flag automatisiert Umgehungstechniken (Whitespace, Unicode, großes Padding), wenn ein Ziel als [FILTERED] erkannt wird.
• Multipart-Unterstützung: Der Payload-Transport wurde auf multipart/form-data umgestellt, um False Negatives bei Zielen zu beheben, die auf Text-Payloads mit 404 antworten.
• Intelligente Analyse:
  • [FILTERED]: Erkennt, wenn eine WAF gezielt den Exploit-Payload blockiert, aber RSC-Traffic zulässt (lohnende Ziele).
  • [SUSPICIOUS]: Erfasst nun Abstürze auf gehärteten Servern, die X-Powered-By-Header verbergen.
  • [EXPOSED]: Erkennung für 303 See Other-Weiterleitungen hinzugefügt, die von einigen verwundbaren Implementierungen verwendet werden.

v2.2-Changelog (Kritisches Update)

• False-Negative-Fix (Multipart): Der Payload-Transport wurde von text/plain auf multipart/form-data umgestellt. Dies behebt False Negatives bei Zielen, die für Server Actions strikt Formulardaten erzwingen und zuvor 404 zurückgaben.
• Weiterleitungserkennung: Die Logik wurde aktualisiert, um HTTP 303 See Other- und x-action-redirect-Header zu erfassen, die starke Indikatoren für die RSC-Verarbeitung sind und oft verborgen bleiben, wenn Scanner Weiterleitungen automatisch verfolgen.

v2.1-Updates

• False-Positive-Fix: Die Logik wurde aktualisiert, um „Info" (RSC-Protokoll erkannt, wahrscheinlich gepatcht) von „Suspicious" (Server-Absturz/500) zu trennen, wodurch Probleme mit gepatchten React-19.x-Versionen behoben werden.
• WAF-Erkennung: Der Scanner identifiziert und meldet nun explizit den Status [BLOCKED] (HTTP 403/406), wenn WAFs die Angriffssignatur abfangen.
• Header-Strategie: Optionales --header-Argument für benutzerdefinierte Traffic-Identifikation, Authorization oder WAF-Allowlisting hinzugefügt.
• UX-Verbesserungen: ASCII-Banner korrigiert, SSL-Warnungsunterdrückung (-k) hinzugefügt und robuste Farbbehandlung implementiert.

⚖️ Haftungsausschluss

Dieses Tool soll Sicherheitsforschern und Administratoren helfen, exponierte Angriffsflächen in ihren eigenen Systemen zu identifizieren. Der Autor übernimmt keine Verantwortung für Missbrauch dieses Tools. Verwenden Sie es nicht gegen Systeme, für deren Test Sie keine ausdrückliche Genehmigung haben.

Referenzen: