CVE-2025-55182 Modularer Exploit mit WAF-Bypass

Ein Python-Skript, das eine interaktive Shell zur Ausnutzung der kritischen RCE-Sicherheitslücke (CVE-2025-55182) in verwundbaren React Server Components- und Next.js-Anwendungen bereitstellt. Dieser Exploit zielt auf den Deserialisierungsfehler, der eine nicht authentifizierte Remote-Codeausführung ermöglicht. Er enthält ein modulares System zum Hinzufügen von WAF-Bypass-Techniken.

[!NOTE] Dieser Exploit ist dafür ausgelegt, mit dem verwundbaren RSC-Protokoll-Endpunkt zu interagieren. Ausführungsergebnisse werden über den Antwortmechanismus des Servers erfasst. Befehle, die keine Ausgabe erzeugen, geben (empty) zurück.

[!CAUTION] Dieser Code dient ausschließlich Forschungs- und Bildungszwecken. Er soll helfen, die CVE-2025-55182-Sicherheitslücke zu verstehen, zu erkennen und zu beheben. Verwenden Sie ihn nicht gegen Systeme ohne ausdrückliche Genehmigung.

Die Nutzung dieses Skripts erfolgt auf eigene Gefahr des Benutzers. Die Autoren übernehmen keinerlei Verantwortung für Missbrauch oder unbeabsichtigte Folgen.

Durch die Verwendung dieses Codes erkennt der Benutzer Folgendes an und stimmt dem zu:

• Der Benutzer ist allein für alle rechtlichen Konsequenzen verantwortlich, die aus der Nutzung dieses Skripts entstehen.
• Der Benutzer hält die Autoren nicht haftbar für Schäden, Verluste oder rechtliche Schritte, die sich aus der Nutzung dieses Codes ergeben.
• Der Benutzer verpflichtet sich, alle geltenden Gesetze und Vorschriften einzuhalten.
• Der Benutzer erkennt an, dass die Verwendung dieses Skripts gegen Systeme ohne Erlaubnis gegen Gesetze und Nutzungsbedingungen verstoßen kann und möglicherweise zu schwerwiegenden Strafen führt.
• Dem Benutzer wird empfohlen, vor der Verwendung dieses Codes einen eigenen Rechtsbeistand zu konsultieren.

Details zur Sicherheitslücke

• CVE-ID: CVE-2025-55182 (React Server Components)
• Zugehörige CVE: CVE-2025-66478 (Folgeauswirkung auf Next.js)
• Schweregrad: Kritisch (CVSS 10.0)
• Beschreibung: Schwachstelle für nicht authentifizierte Remote-Codeausführung (RCE) in React Server Components, die Anwendungen betrifft, die den Next.js App Router mit verwundbaren React-Versionen verwenden.
• Betroffene React-Versionen: 19.0, 19.1.0, 19.1.1, 19.2.0
• Betroffene Next.js-Versionen: 15.x, 16.x, 14.3.0-canary.77+
• Gepatchte React-Versionen: >= 19.0.1, >= 19.1.2, >= 19.2.1
• Gepatchte Next.js-Versionen: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

WAF-Bypass-Module

Dieser Exploit verfügt über ein dynamisches WAF-Bypass-Modulsystem. Die Module werden als separate Python-Dateien im Verzeichnis waf_modules gespeichert. Jedes Modul muss eine Funktion modify_request(body, headers) definieren, die den Standardanfragetext und die Standard-Header entgegennimmt, sie für den Bypass nach Bedarf modifiziert und die neuen body, headers zurückgibt.

• Hinzufügen eines Moduls: Erstellen Sie eine neue Python-Datei (z. B. bypass_custom.py) im Verzeichnis waf_modules, die die Funktion modify_request enthält.
• Verwenden eines Moduls: Führen Sie das Skript mit dem Flag --help aus, um die verfügbaren Bypass-Optionen anzuzeigen (z. B. --bypass-custom für bypass_custom.py). Verwenden Sie das entsprechende Flag, um das Modul zu aktivieren.

Beispiel: Als Beispiel ist ein Modul bypass_vercel.py enthalten, das Techniken implementiert, die gegen Vercel-Bereitstellungen potenziell wirksam sind.

Erweiterte Sitzungskonfiguration (--modify-request)

Das Skript erlaubt die direkte Änderung bestimmter Attribute des requests.Session-Objekts, das für HTTP-Anfragen verwendet wird. Dies ermöglicht feingranulare Kontrolle über Aspekte wie SSL-Verifizierung, Timeouts und potenziell andere Einstellungen auf Sitzungsebene.

• Verwendung: Verwenden Sie das Flag --modify-request <KEY> <VALUE>. Der <KEY> entspricht einem Attribut des requests.Session-Objekts (z. B. verify, timeout).
• Typkonvertierung: Das Skript versucht eine grundlegende Typkonvertierung für <VALUE>: true/false werden zu booleschen Werten, numerische Zeichenfolgen werden zu Ganzzahlen oder Gleitkommazahlen, andernfalls bleibt der Wert eine Zeichenfolge.
• Konkretes Beispiel - SSL-Verifizierung:
  • SSL-Verifizierung aktivieren: --modify-request verify True
  • SSL-Verifizierung deaktivieren: --modify-request verify False (entspricht dem alten --insecure-Flag)
• Hilfe: Verwenden Sie python CVE-2025-55182.py --help-modify-request für eine baumartige Darstellung der gängigen Optionen.

Voraussetzungen

• Python 3.x
• Erforderliche Python-Bibliotheken (siehe requirements.txt)

Einrichtung

1. Installieren Sie die Python-Abhängigkeiten: Es wird empfohlen, eine virtuelle Umgebung zu verwenden (z. B. python -m venv venv und source venv/bin/activate auf Unix-ähnlichen Systemen oder venv\Scripts\activate auf Windows).
   root@kitploit:~

   pip install -r requirements.txt
   

2. Erstellen Sie das Verzeichnis waf_modules:
   root@kitploit:~

   mkdir waf_modules
   

   Legen Sie Ihre WAF-Bypass-Moduldateien (z. B. bypass_vercel.py) in diesem Verzeichnis ab.

Ausführen des Exploits

1. Richten Sie eine verwundbare Umgebung ein (nur zum Testen):

   root@kitploit:~

   docker run --rm -p 127.0.0.1:3000:3000 ghcr.io/l4rm4nd/cve-2025-55182:latest
   

   Weitere Informationen: https://github.com/l4rm4nd/CVE-2025-55182

2. Führen Sie das Skript aus:

   root@kitploit:~

   python CVE-2025-55182.py --help # To see all options, including WAF bypasses
   # Example with a bypass module:
   python CVE-2025-55182.py --host 127.0.0.1 --port 3000 --endpoint / --bypass-vercel
   

   Wenn keine Befehlszeilenargumente verwendet werden, fragt das Skript interaktiv nach Host, Port und Endpunkt.

3. Interagieren Sie mit der Shell:

   • Geben Sie Befehle ein und drücken Sie die Eingabetaste, um sie auf dem Zielsystem auszuführen.
   • Geben Sie exit oder quit ein, um die Shell-Sitzung zu beenden.