CVE-2025-55182 Schwachstellendetektor - Erweiterte Ausgabe

Ein umfassendes Erkennungstool für CVE-2025-55182 in React/Next.js-Anwendungen mit mehreren Erkennungstechniken.

⚠️ Rechtlicher Haftungsausschluss

NUR FÜR AUTORISIERTE SICHERHEITSTESTS UND FORSCHUNGSZWECKE

Dieses Tool ist vorgesehen für:

• Autorisierte Penetrationstest-Einsätze
• Sicherheitsforschung in kontrollierten Umgebungen
• Bildungszwecke
• Schwachstellenbewertung mit ordnungsgemäßer Autorisierung

Unbefugter Zugriff auf Computersysteme ist illegal. Holen Sie vor dem Testen immer eine schriftliche Genehmigung ein.

Funktionen

• Mehrere Erkennungstechniken: Umfassende Tests mit verschiedenen Ansätzen
• Gadget-Chain-Sonden: Testet verschiedene Node.js-Modulzugriffspfade
• Sichere Operationen: Verwendet nur harmlose, nicht-destruktive Testbefehle
• WAF-Bypass-Techniken: Erweiterte Erkennung für geschützte Umgebungen
• Stapeltests: Testen mehrerer Ziele aus einer Datei

Was dieses Skript tut

Dieser Detektor testet umfassend, ob eine Zielanwendung mit mehreren Techniken anfällig für CVE-2025-55182 ist:

✅ Gadget-Chain-Sonden (Sicher, Nicht-destruktiv)

Das Tool testet Node.js-Gadget-Ketten mit harmlosen Operationen:

• fs#constructor: Testet den Zugriff auf den Dateisystem-Konstruktor (keine Dateien werden zugegriffen)
• vm#runInThisContext: Wertet sicheres JavaScript aus (1+1)
• child_process#execSync: Führt harmlosen Befehl aus (echo test)
• module#_load: Lädt sicheres integriertes Modul (path)
• fs#readFileSync: Liest sichere Systemdatei (/dev/null)
• util#promisify: Testet den Zugriff auf Dienstprogrammfunktionen

✅ Erweiterte Erkennungstechniken

• Safe Side-Channel Detection: Nicht-ausnutzbare Fehlermustererkennung
• RCE Proof-of-Concept: Befehlsausführungstests (Unix/Linux & Windows)
• WAF Bypass Variants: Techniken zur Umgehung von Web Application Firewalls
• Advanced Payloads: Mehrere Payload-Konstruktionsmethoden

⚠️ Was das Tool tut

Testvorgänge:

• Führt sichere, harmlose Befehle aus (echo test, 1+1)
• Liest sichere Systemdateien (/dev/null)
• Testet das Laden von Modulen mit integrierten Modulen
• Sendet mehrere Payload-Varianten zur Erkennung von Schwachstellen

Tut NICHT:

• Liest keine sensiblen Dateien oder Daten
• Schreibt oder ändert keine Dateien
• Führt keine destruktiven Befehle aus
• Hinterlässt keine Spuren oder Hintertüren
• Nutzt die Schwachstelle nicht über die Erkennung hinaus aus

Installation

Dieses Tool verwendet uv zur Abhängigkeitsverwaltung und Ausführung.

Voraussetzungen

• Python 3.13 oder höher
• uv (Installation von https://github.com/astral-sh/uv)

Schnellstart

Keine Installation erforderlich! Einfach klonen und ausführen:

git clone <repository-url>
cd CVE-2025-55182/poc
uv run check http://target.com:3000

Das Tool installiert Abhängigkeiten beim ersten Start automatisch.

Verwendung

Grundlegende Verwendung

uv run check <target_url>

Beispiele

# Test a target with default settings (tests /formaction endpoint)
uv run check http://localhost:3002

# Specify custom endpoint
uv run check http://localhost:3002 --endpoint /api/formaction

# Test multiple targets from a file
uv run check --file targets.txt

# Save vulnerable hosts to file
uv run check --file targets.txt -o vulnerable.txt

# Increase timeout for slow connections
uv run check http://localhost:3002 --timeout 15

# Disable SSL verification (for self-signed certificates)
uv run check http://localhost:3002 --no-ssl-verify

# Quiet mode (minimal output)
uv run check http://localhost:3002 --quiet

Befehlszeilenoptionen

usage: uv run check [-h] [-f FILE] [-e ENDPOINT] [-t TIMEOUT]
                    [--no-ssl-verify] [-q] [-o OUTPUT] [target]

positional arguments:
  target                Ziel-URL (z.B. http://target.com:3000)

optional arguments:
  -h, --help            Hilfemeldung anzeigen und beenden
  -f, --file FILE       Datei mit Ziel-URLs (eine pro Zeile)
  -e, --endpoint        API-Endpunkt-Pfad (Standard: /formaction)
  -t, --timeout         Anfrage-Timeout in Sekunden (Standard: 10)
  --no-ssl-verify       SSL-Zertifikatsprüfung deaktivieren
  -q, --quiet           Stiller Modus (minimale Ausgabe)
  -o, --output OUTPUT   Ausgabedatei zum Schreiben verwundbarer Hosts

Exit-Codes

• 0 - Ziel ist NICHT verwundbar
• 1 - Ziel IST verwundbar
• 130 - Benutzer unterbrochen (Strg+C)
• Sonstiges - Fehler aufgetreten

Beispielausgabe

Verwundbares Ziel

# uv run check http://localhost:3002
======================================================================
CVE-2025-55182 Vulnerability Detector - Enhanced Edition
Multiple Detection Techniques | Comprehensive Coverage
======================================================================

[*] Testing http://localhost:3002/formaction
[*] Testing all detection techniques...
  → Gadget: fs#constructor: ✓ VULNERABLE
  → Gadget: vm#runInThisContext: ✓ VULNERABLE
  → Gadget: child_process#execSync: ✓ VULNERABLE
  → Gadget: module#_load: ✓ VULNERABLE
  → Gadget: fs#readFileSync: ✓ VULNERABLE
  → Gadget: util#promisify: ✗ Not vulnerable
  → Safe Side-Channel Detection: ✗ Not vulnerable
  → RCE PoC (Unix/Linux): ✗ Not vulnerable
  → RCE PoC (Windows): ✗ Not vulnerable
  → RCE with WAF Bypass (Unix/Linux): ✗ Not vulnerable
  → RCE with WAF Bypass (Windows): ✗ Not vulnerable
  → Advanced WAF Bypass (Unix/Linux): ✗ Not vulnerable

======================================================================
DETECTION RESULTS
======================================================================
Target:                  http://localhost:3002
Endpoint:                /formaction
Techniques Tested:       Multiple
Successful Techniques:   5 techniques detected vulnerability

Status:                  ⚠️  VULNERABLE

The target appears to be vulnerable to CVE-2025-55182.

Techniques that detected vulnerability:
 -> Gadget: fs#constructor
 -> Gadget: vm#runInThisContext
 -> Gadget: child_process#execSync
 -> Gadget: module#_load
 -> Gadget: fs#readFileSync

Recommendation: Apply security patches immediately.
======================================================================

Nicht verwundbares Ziel

# uv run check http://localhost:8000
======================================================================
CVE-2025-55182 Vulnerability Detector - Enhanced Edition
Multiple Detection Techniques | Comprehensive Coverage
======================================================================

[*] Testing http://localhost:8000/formaction
[*] Testing all detection techniques...
  → Gadget: fs#constructor: ✗ Not vulnerable
  → Gadget: vm#runInThisContext: ✗ Not vulnerable
  → Gadget: child_process#execSync: ✗ Not vulnerable
  → Gadget: module#_load: ✗ Not vulnerable
  → Gadget: fs#readFileSync: ✗ Not vulnerable
  → Gadget: util#promisify: ✗ Not vulnerable
  → Safe Side-Channel Detection: ✗ Not vulnerable
  → RCE PoC (Unix/Linux): ✗ Not vulnerable
  → RCE PoC (Windows): ✗ Not vulnerable
  → RCE with WAF Bypass (Unix/Linux): ✗ Not vulnerable
  → RCE with WAF Bypass (Windows): ✗ Not vulnerable
  → Advanced WAF Bypass (Unix/Linux): ✗ Not vulnerable

======================================================================
DETECTION RESULTS
======================================================================
Target:                  http://localhost:8000
Endpoint:                /formaction
Techniques Tested:       Multiple

Status:                  ✓ NOT VULNERABLE

The target does not appear to be vulnerable to CVE-2025-55182.
All detection techniques failed to confirm vulnerability.
======================================================================

Stapeltests

Das Skript ermöglicht es, mehrere Hosts gleichzeitig zu testen.