FOX-RSC TOOL

CVE-2025-55182 & CVE-2025-66478

Fox Logo

RECHTLICHER HINWEIS

EN: Dieses Tool ist ein Proof of Concept (PoC), das ausschließlich für Sicherheitsforschung und Bildungszwecke bestimmt ist. Die Verwendung dieses Tools auf Systemen ohne ausdrückliche Genehmigung ist illegal und strafbar. Der Autor (Tiger-Foxx) übernimmt keine Verantwortung für Missbrauch.

FR: Dieses Tool ist ein Proof of Concept (PoC), das ausschließlich für Sicherheitsforschung und Bildungszwecke bestimmt ist. Die Verwendung dieses Tools auf Systemen ohne ausdrückliche Genehmigung ist illegal.

BESCHREIBUNG

Fox-RSC Tool ist eine spezialisierte Browsererweiterung und Toolkit, das entwickelt wurde, um die kritische CVE-2025-55182 (React2Shell) Schwachstelle zu erkennen und zu demonstrieren, die React Server Components (RSC) betrifft.

Dieses Toolkit bietet eine umfassende Suite für Sicherheitsforscher, um anfällige Endpunkte zu identifizieren und den Remote Code Execution (RCE) Vektor in einer kontrollierten Umgebung zu verifizieren.

TECHNISCHE ANALYSE: CVE-2025-55182 (React2Shell)

Schwachstellenklasse: Unsichere Deserialisierung / Remote Code Execution CVSS-Score: 10.0 (Kritisch) Offenlegungsdatum: 3. Dezember 2025

Übersicht

Auch bekannt als React2Shell, betrifft diese kritische Schwachstelle das Flight-Protokoll, das von React Server Components (RSC) verwendet wird, insbesondere innerhalb des \eact-server-Pakets. Sie ermöglicht eine nicht authentifizierte Remote Code Execution (RCE) mit einem CVSS-Score von 10.0.

Mechanismus

Die Schwachstelle resultiert aus der unsicheren Deserialisierung von RSC-Payloads.

Injection: Ein Angreifer erstellt eine bösartige HTTP-Anfrage mit einem spezifischen Payload.
Deserialisierung: Wenn der Server diese Anfrage mit dem Flight-Protokoll verarbeitet, validiert er die Eingabe nicht ordnungsgemäß.
Ausführung: Der Deserialisierungsprozess löst die Ausführung von beliebigem, privilegiertem JavaScript-Code im Kontext des Servers aus.

Ausnutzbarkeit & Auswirkungen

Hohe Zuverlässigkeit: Der Exploit hat eine Erfolgsrate von nahezu 100% in Testumgebungen.
Keine Authentifizierung: Es sind keine Benutzeranmeldeinformationen erforderlich, um die RCE auszulösen.
Weit verbreitete Ausnutzung: Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Aktive Ausnutzung wird seit dem 5. Dezember 2025 beobachtet, wobei Bedrohungsakteure auf Cloud-Anmeldeinformationen abzielen und Crypto-Miner (z. B. XMRig) einsetzen.

Voraussetzungen für die Ausnutzung

Die Zielanwendung muss React Server Components (RSC) auf der Serverseite nutzen (z. B. Next.js im Standard-Produktionsmodus).
Hinweis: Selbst wenn die Anwendung keine Serverfunktions-Endpunkte explizit definiert, bleibt sie anfällig, wenn RSC-Unterstützung aktiviert ist.
Angriffsvektor: Jeder exponierte Endpunkt, der vom RSC-Server verarbeitet wird, kann mit einer speziell erstellten HTTP-Anfrage angegriffen werden. Es funktioniert mit Standardkonfigurationen, ohne dass Codeänderungen erforderlich sind.

Betroffene Versionen

React: 19.0, 19.1.0, 19.1.1, 19.2.0
Next.js: Versionen 14.3.0-canary.77+, 15.x, 16.x
Andere Frameworks: React Router, Vite (RSC-Plugin), Parcel (RSC-Plugin), Waku.

Hinweis: Rein clientseitige Anwendungen (SPA) oder solche ohne RSC-Unterstützung sind nicht betroffen.

FUNKTIONEN

1. Chrome-Erweiterung (Premium Dark Theme)

Passive Erkennung: Analysiert automatisch HTTP-Header (z. B. rsc, next-router-state-tree) und DOM-Elemente, um Next.js/RSC-Anwendungen zu identifizieren.
Aktives Fingerprinting: Sendet leichte, nicht zerstörerische Sonden, um das Vorhandensein des Flight-Protokolls zu bestätigen.
RCE-Exploit-Terminal: Ein integriertes Terminal-Interface zum Testen der Befehlsausführung (z. B. whoami, ls -la) auf autorisierten Zielen.

Erweiterungsoberfläche
Popup der Fox-RSC Tool-Erweiterung, das die Hauptoberfläche mit Erkennungs- und Exploit-Abschnitten zeigt.

Eingebaute Befehlsvorlagen zum Testen von RCE (whoami, pwd, etc.) im Exploit-Bereich.

2. Proxy-Server (`extension_proxy.py`)

Ein Python-basierter Middleware, der CORS-Beschränkungen (Cross-Origin Resource Sharing) umgeht und es der Erweiterung ermöglicht, während Tests mit entfernten Zielen zu kommunizieren.

3. Shodan-Scanner (`shodan_scanner.py`)

Automatisiertes Aufklärungsskript, das die Shodan-API nutzt, um potenziell anfällige Hosts zu identifizieren, die dem öffentlichen Internet ausgesetzt sind.

INSTALLATION

Browser-Erweiterung

Navigieren Sie zu chrome://extensions/ in Ihrem Chromium-basierten Browser.
Aktivieren Sie den Entwicklermodus.
Klicken Sie auf Load unpacked.
Wählen Sie das Verzeichnis extension/ aus diesem Repository aus.
Das Fox-RSC Tool-Symbol erscheint in Ihrer Browser-Symbolleiste.

Browser-Erweiterung in der Symbolleiste
Fox-RSC Tool-Symbol sichtbar in der Browser-Symbolleiste nach der Installation.

Proxy-Server (Empfohlen)

Um zuverlässige Exploit-Tests ohne CORS-Störungen zu gewährleisten: \\ash python extension_proxy.py \
Der Server hört auf Port 8765.

Shodan-Scanner

Erfordert einen gültigen Shodan-API-Schlüssel. \\ash pip install shodan requests tqdm python shodan_scanner.py \\

Shodan-Scanner-Ergebnisse
Ausgabe des Shodan-Scanners mit anfälligen Hosts und Scan-Ergebnissen.

GEGENMASSNAHMEN

Sofortige Patches sind für alle betroffenen Systeme erforderlich.

React: Aktualisieren Sie auf Version 19.0.1, 19.1.2, 19.2.1 oder neuer.
Next.js: Aktualisieren Sie auf die neueste stabile Version.
Hosting-Anbieter: Einige Anbieter haben temporäre Abhilfemaßnahmen ergriffen, aber Code-Updates sind zwingend erforderlich.

CREDITS

Entwickelt von Tiger-Foxx Originaldesign & Forschung

Bleiben Sie sicher, bleiben Sie geschützt.

Beliebteste

exploit-react-CVE-2025-55182

Über