CVE-2025-55182: React/Next.js-Test

Projektstatus: Experimentell / Proof of Concept

Dieses Repository dient als kontrollierte Forschungsumgebung und Proof-of-Concept (PoC)-Framework zur Analyse von CVE-2025-55182. Es demonstriert eine Prototype Pollution-Schwachstelle im Kontext von Next.js Server Actions, die speziell unsichere rekursive Merge-Operationen angreift.

Überblick

Die Kernschwachstelle liegt in einer benutzerdefinierten deepMerge-Hilfsfunktion, die innerhalb einer Next.js Server Action (syncConfiguration) implementiert ist. Die Funktion verfügt nicht über eine ausreichende Bereinigung für spezielle Objektschlüssel – insbesondere __proto__ und constructor. Diese Unzulänglichkeit ermöglicht es einem nicht authentifizierten Angreifer, beliebige Eigenschaften in das globale Object.prototype einzuschleusen.

In einer serverseitigen Node.js-Laufzeitumgebung kann eine erfolgreiche Prototype Pollution zu Folgendem führen:

• Remote State Manipulation: Änderung der Anwendungslogik, von Autorisierungsflags (z. B. isAdmin) oder Konfigurationseinstellungen global.
• Denial of Service (DoS): Destabilisierung der Anwendung durch Überschreiben kritischer interner Methoden wie toString oder valueOf.
• Potenzielle Remote Code Execution (RCE): Während dieses Labor hauptsächlich die Zustandsmanipulation demonstriert, kann Prototype Pollution oft mit anderen Gadgets (z. B. in child_process oder Template-Engines) verknüpft werden, um eine beliebige Codeausführung zu erreichen.

Repository-Struktur

• lab/next-app/: Eine verwundbare Next.js 15-Anwendung, die dazu entwickelt wurde, den Sicherheitsfehler zu simulieren.
  • src/app/actions.jsx: Der serverseitige Code, der die verwundbare deepMerge-Implementierung enthält.
• exploits/: Python-Automatisierungsskripte zum Testen und zur Ausnutzung.
  • rce.py: Ein Skript, das die Injektion bösartiger JSON-Payloads automatisiert, um die Serverzustandsverschmutzung zu demonstrieren.
  • get-shell.py: Ein fortgeschrittenes PoC, das RSC Flight Protocol-Deserialisierungsvektoren untersucht.
• docs/PAYLOADS.md: Ein Referenzdokument, das verschiedene JSON-Payloads für manuelle Tests und Analysen enthält.

Verwendungsanleitung

1. Umgebungseinrichtung

Sie können das Labor mit Docker (empfohlen) oder lokal ausführen.

Option A: Docker (Empfohlen)

Stellen Sie sicher, dass Docker und Docker Compose installiert sind.

docker-compose up --build

Die Anwendung ist unter http://localhost:3000 erreichbar.

Option B: Lokale Einrichtung

Erfordert Node.js 20+.

cd lab/next-app
npm install
npm run dev

Die Anwendung ist unter http://localhost:3000 erreichbar.

2. Manuelle Überprüfung

1. Navigieren Sie zu http://localhost:3000.
2. Wählen Sie einen Payload aus docs/PAYLOADS.md (z. B. den Basic Payload).
3. Geben Sie den Payload in das Feld „Config_Payload_Input” ein und senden Sie ihn über „Commit_Changes” ab.
4. Überprüfen Sie den Alarm „RUNTIME_POLLUTION_DETECTED”, der auf eine erfolgreiche Ausnutzung hinweist.

3. Automatisierte Ausnutzung

Die bereitgestellten Python-Skripte ermöglichen eine programmatische Überprüfung der Schwachstelle.

Voraussetzung: Ermitteln Sie die Next-Action-ID aus dem Netzwerk-Tab des Browsers (suchen Sie nach einem POST-Request-Header Next-Action) oder aus der Server-Terminalausgabe.

Docker verwenden (Empfohlen)

1. Betreten Sie den Angreifer-Container:
   root@kitploit:~

   docker exec -it exploit-runner bash
   

2. Exportieren Sie die Action-ID und führen Sie den Exploit aus:
   root@kitploit:~

   export ACTION_ID="your_action_id_here"
   python3 rce.py "id"
   

Lokales Python verwenden

1. Installieren Sie Abhängigkeiten:
   root@kitploit:~

   pip install -r exploits/requirements.txt
   

2. Führen Sie den Exploit aus (setzen Sie ACTION_ID als Umgebungsvariable oder bearbeiten Sie das Skript):
   root@kitploit:~

   export ACTION_ID="your_action_id_here"
   python3 exploits/rce.py "id"
   

Hinweis: Das rce.py-Skript ist so konfiguriert, dass es eine erfolgreiche Zustandsverschmutzung demonstriert. Die vollständige Shell-Ausführung hängt von spezifischen Umgebungs-Gadgets ab, die variieren können.

Haftungsausschluss

Dieses Projekt ist ausschließlich für Bildungszwecke und Sicherheitsforschung bestimmt.

Verwenden Sie den hier bereitgestellten Code oder die Techniken nicht auf Systemen, für die Sie keine ausdrückliche schriftliche Genehmigung haben. Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch dieses Material verursacht werden.