big02-bot/react2shell-cve-2025-55182-an-lise-t-cnica
Analyse éducative de CVE-2025-55182, une RCE critique non authentifiée dans React Server Components et Next.js. Couvre l'architecture vulnérable, le protocole React Flight, l'exploitation de la chaîne de prototypes, les indicateurs de détection et les stratégies de mitigation défensive.
Ce dépôt documente les concepts de sécurité étudiés dans la salle TryHackMe concernant la CVE-2025-55182, une vulnérabilité critique qui affecte :
La faille permet :
Exécution de code à distance sans authentification via une seule requête HTTP manipulée.
Ce matériel a un but exclusivement éducatif et défensif, ne contenant pas de réponses, de flags ou de walkthrough complet de la plateforme.
[ Navigateur ]
│
▼
[ Requête React Flight ]
│
▼
[ Next.js / RSC sur le serveur ]
│
▼
[ Runtime Node.js ]
│
▼
[ Système d'exploitation ]
Les React Server Components, introduits dans React 19, permettent :
Responsable de :
| Marqueur | Fonction |
|---|---|
| $@ | Référence à un chunk |
| $B | Référence à un Blob |
| $1:constructor:constructor | Accès à la chaîne de prototypes |
Extrait conceptuel vulnérable :
moduleExports[metadata[2]]
Cet accès en JavaScript :
Désérialisation non sécurisée
↓
Accès à la chaîne de prototypes
↓
Invocation de Function()
↓
Remote Code Execution (RCE)
Résultat :
Compromission totale de l'environnement d'exécution.
⚠️ Sans les étapes du laboratoire — uniquement une analyse technique.
Payload sérialisé manipulé
↓
Traitement par React Flight
↓
Parcours de la chaîne de prototypes
↓
Création dynamique de fonction JavaScript
↓
Exécution de code dans Node.js
Conséquences possibles :
Dans des environnements de test autorisés, les confirmations initiales peuvent impliquer :
id # utilisateur du processus
uname -a # informations système
pwd # répertoire actuel
ls -la # fichiers locaux
env # variables d'environnement
Ces commandes servent uniquement à :
confirmer la présence d'exécution à distance, elles ne représentent pas la procédure complète de la salle.
React
Next.js
Mettre à jour vers :
Signes possibles d'exploitation :
Ces motifs sont :
rares dans le trafic légitime, constituant de forts indicateurs d'attaque.
Bonnes pratiques défensives :
La détection précoce réduit considérablement le risque en production.
La CVE-2025-55182 est critique car :
Démontrant que :
des failles subtiles de désérialisation peuvent entraîner une RCE complète.
La salle met l'accent sur :
Contenu destiné à :
L'exploitation de systèmes sans autorisation est illégale.
Le React2Shell (CVE-2025-55182) montre que :
les abstractions modernes des frameworks peuvent cacher
des limites critiques de sécurité.
Comprendre ces couches est essentiel pour :