Configuration système requise

• RAM VPS minimale : 8 Go
• RAM VPS recommandée : 16 Go

CVE-2025-55182

Cet outil de scan est conçu pour détecter et valider les indicateurs liés à la CVE-2025-55182. Vous trouverez ci-dessous des détails faisant autorité et des conseils pratiques ; consultez toujours l'avis de l'éditeur et les sources officielles avant d'agir.

Résumé

• Description : une vulnérabilité d'exécution de code à distance avant authentification affectant React Server Components et les packages server-dom associés. Le chemin de code vulnérable désérialise de manière non sécurisée les charges utiles reçues par les points de terminaison Server Function, permettant une exécution de code à distance lorsqu'elle est exploitée.
• Faiblesse : CWE-502 (désérialisation de données non fiables).
• Sévérité éditeur (Facebook/Meta) : score de base CVSS v3.1 10.0 — CRITIQUE.
• CISA : cette CVE est répertoriée dans le catalogue des vulnérabilités exploitées connues de la CISA.

Composants connus affectés (exemples tirés du NVD/de l'avis de l'éditeur)

• React Server Components : versions affectées signalées, y compris 19.0.0, 19.1.0, 19.1.1, 19.2.0.
• Packages Server DOM : react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack.
• Plusieurs bundles Next.js/Node.js utilisant des composants serveur affectés ont également été identifiés dans les références de l'éditeur/du NVD — consultez les avis pour connaître les CPE exacts et les plages de versions.

Consignes d'utilisation de ce scanner

• Placez les listes de cibles (hôtes, URL ou autres artefacts) dans split/ et exécutez le flux de scan normal (./start-scan.sh pour un seul fichier ou ./run-continuous-scan.sh pour traiter plusieurs fichiers).
• Le scanner worker recherche des indicateurs cohérents avec des points de terminaison Server Function non sécurisés et des artefacts de désérialisation ; les résultats sont écrits dans output/<input>.output et consignés dans scan.log.
• Cet outil n'exploite pas les vulnérabilités — il détecte des indicateurs. N'essayez pas d'exploitation sans autorisation explicite.

Mesures d'atténuation

• Appliquez les correctifs ou mises à niveau de l'éditeur comme indiqué dans l'avis officiel de l'éditeur. Ne vous reposez pas uniquement sur des mesures d'atténuation au niveau du réseau pour les vulnérabilités RCE.
• Lorsqu'un correctif n'est pas immédiatement possible, suivez les recommandations d'atténuation de l'éditeur et de la CISA (par exemple, désactivez ou restreignez les points de terminaison Server Function, appliquez des règles WAF, isolez les services affectés).
• Si une exploitation est suspectée, isolez les hôtes affectés et suivez les procédures de réponse aux incidents.

Références faisant autorité

• Entrée NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-55182
• Avis de l'éditeur / blog React : https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• Avis de sécurité de l'éditeur (Meta/Facebook) : https://www.facebook.com/security/advisories/cve-2025-55182
• Catalogue des vulnérabilités exploitées connues de la CISA : https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182
• Blog sécurité AWS (analyse/exploitation observée) : https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
• Liste de diffusion OSS / analyses tierces : http://www.openwall.com/lists/oss-security/2025/12/03/4

Démarrage rapide (Docker)

1. Placez chaque lot d'entrée à scanner dans le répertoire split/ (un fichier par tâche worker).

2. Démarrez le cluster et le scanner (recommandé) :

3. Pour un scan unique, vous pouvez utiliser :

4. Surveillez la progression en consultant scan.log et en vérifiant output/ pour les résultats par fichier.

Scripts et leur rôle

• run-continuous-scan.sh — surveille le répertoire split/ et traite les fichiers séquentiellement, en maintenant le cluster actif entre les fichiers pour plus de rapidité.
• start-scan.sh — exécute un scan ponctuel sur un seul fichier d'entrée.
• setup.sh — script d'aide pour les tâches initiales de provisionnement ou de configuration.
• orchestrator.py — orchestrateur Python (point d'entrée pour une logique d'orchestration personnalisée).
• worker/ — image worker et code utilisés par les conteneurs pour effectuer le scan proprement dit (Dockerfile, scanner.py, worker.py).

Sorties

• Les sorties par fichier sont écrites dans output/<input-name>.output.
• Un results.txt combiné et dédupliqué est produit après le traitement (vérifiez les options de votre orchestrateur pour connaître le comportement exact).
• Les journaux détaillés sont ajoutés à scan.log.

Configuration

• Les valeurs de réglage telles que le nombre de workers, les délais d'attente, la taille des lots ou les options du scanner se trouvent dans l'orchestrateur ou dans les scripts shell. Modifiez ces fichiers pour adapter le comportement à votre environnement.

Développement

Pour construire l'image worker localement (à partir de worker/Dockerfile) :

Exécutez un worker localement pour le débogage :

Dépannage

• Si les services Docker Compose ne démarrent pas, exécutez docker-compose logs pour inspecter les journaux des services.
• Assurez-vous que les ports requis par MinIO/Redis sont disponibles sur votre hôte.
• Si les scans sont lents, augmentez le nombre de workers ou maintenez le cluster actif entre les fichiers (utilisez run-continuous-scan.sh).

Contribution

Les PR et les issues sont les bienvenus. Veuillez ouvrir une issue décrivant le problème ou la fonctionnalité et inclure les étapes de reproduction.

Licence

Ajoutez ici la licence de votre projet (par exemple, MIT). En cas de doute, ajoutez un fichier LICENSE explicite.

Si vous le souhaitez, je peux aussi :

• ajouter des badges pour le build/statut/licence
• créer un court fichier CONTRIBUTING.md et LICENSE
• mettre à jour les scripts pour inclure des variables d'environnement configurables