Next.js React2Shell (CVE-2025-55182) Expl0it

केवल अधिकृत, स्थानीय परीक्षण वातावरण में गंभीर React2Shell भेद्यता (CVE-2025-55182 / CVE-2025-66478) प्रदर्शित करने के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट टूल।

⚠️ गंभीर चेतावनी: सक्रिय शोषण

• केवल कानूनी उपयोग: केवल उन्हीं सिस्टमों के विरुद्ध उपयोग करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।
• तत्काल पैचिंग आवश्यक: यदि भेद्य है, तो आपको तुरंत अपडेट करना होगा। पैचिंग ही एकमात्र निश्चित शमन है।
• कोई वारंटी नहीं: यह टूल केवल शैक्षिक और अधिकृत सुरक्षा मूल्यांकन उद्देश्यों के लिए है।

📄 भेद्यता अवलोकन

CVE-2025-55182 (React2Shell) React सर्वर कंपोनेंट्स (RSC) "Flight" प्रोटोकॉल में एक गंभीर, प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता है। CVE-2025-66478 नामक एक अलग पहचानकर्ता Next.js के लिए जारी किया गया था, लेकिन चूँकि दोनों का मूल कारण समान है, इसे CVE-2025-55182 की डुप्लिकेट के रूप में अस्वीकार कर दिया गया है।

• मूल कारण: React के सर्वर-साइड पैकेज में असुरक्षित डिसीरियलाइज़ेशन। Flight प्रोटोकॉल की डिकोडिंग लॉजिक हमलावर-नियंत्रित पेलोड को उचित रूप से मान्य करने में विफल रहती है, जिससे प्रोटोटाइप प्रदूषण और सर्वर-साइड निष्पादन पथों पर प्रभाव संभव होता है।
• हमला वेक्टर: बिना प्रमाणीकरण। हमलावर सर्वर एंडपॉइंट पर एकल, विशेष रूप से तैयार HTTP POST अनुरोध भेजकर शोषण को ट्रिगर कर सकते हैं।
• विश्वसनीयता: परीक्षण से पता चला है कि भेद्य, डिफ़ॉल्ट कॉन्फ़िगरेशन के विरुद्ध शोषण की विश्वसनीयता लगभग 100% है।
• दायरा: कोई एप्लिकेशन भेद्य है यदि वह React सर्वर कंपोनेंट्स (RSC) का समर्थन करता है, भले ही वह सर्वर फ़ंक्शन्स को स्पष्ट रूप से लागू न करता हो।

📖 उपयोग

मूल सिंटैक्स

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

उदाहरण

# Target specific URL
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 प्रभावित सॉफ़्टवेयर और पैच किए गए संस्करण

यह भेद्यता विशिष्ट React पैकेजों में उत्पन्न होती है, जो उन्हें बंडल करने वाले किसी भी फ्रेमवर्क को प्रभावित करती है।

प्रभावित नहीं: Next.js 13.x, Next.js 14.x स्थिर रिलीज़, Pages Router एप्लिकेशन और Edge Runtime प्रभावित नहीं हैं।

🔬 तकनीकी विवरण और शोषण

Flight प्रोटोकॉल में दोष

RSC Flight प्रोटोकॉल क्लाइंट-सर्वर संचार के लिए डेटा को सीरियलाइज़ करता है। यह भेद्यता सर्वर की डिसीरियलाइज़ेशन लॉजिक में निहित है, जो पर्याप्त मान्यता के बिना इनकमिंग पेलोड से ऑब्जेक्ट गुणों का असुरक्षित रूप से विस्तार करती है। यह हमलावर को अनुरोध में दुर्भावनापूर्ण कुंजियाँ (जैसे __proto__ या constructor) इंजेक्ट करने की अनुमति देता है, जिससे प्रोटोटाइप प्रदूषण होता है।

एक बार प्रोटोटाइप श्रृंखला प्रदूषित हो जाने पर, सर्वर हमलावर-प्रभावित निष्पादन पथों का अनुसरण करता है। इसे सर्वर विशेषाधिकारों के साथ मनमाना JavaScript कोड निष्पादित करने के लिए जोड़ा जा सकता है, जिससे पूर्ण रिमोट कोड एक्ज़ीक्यूशन (RCE) होता है।

शोषण-पश्चात गतिविधि

सुरक्षा शोधकर्ताओं ने सफल शोषण देखे हैं जिनके परिणामस्वरूप:

• क्रेडेंशियल हार्वेस्टिंग: क्लाउड क्रेडेंशियल्स (जैसे, .aws/credentials से) की पहचान और बहिर्निष्कासन के प्रयास।
• क्रिप्टोकरेंसी माइनिंग: XMRig जैसे माइनर्स की तैनाती।
• मालवेयर तैनाती: Sliver C2 फ्रेमवर्क जैसे फ्रेमवर्क की स्थापना।

🛡️ शमन और प्रतिक्रिया

1. तत्काल पैचिंग (प्राथमिक समाधान)

पैचिंग अनिवार्य है और भेद्यता को पूरी तरह समाप्त करने का एकमात्र तरीका है। भेद्य कोड पथ को अक्षम करने के लिए कोई कॉन्फ़िगरेशन सेटिंग नहीं है।

# For Next.js users, upgrade to the latest patched version in your release line.
# Example: If you are on Next.js 15.5.x:
npm install [email protected]

# Also ensure React dependencies are updated:
npm install react@latest react-dom@latest

सत्यापित करें कि आपकी package-lock.json या yarn.lock फ़ाइलें पैच किए गए react-server-dom-* पैकेज संस्करणों (19.0.1, 19.1.2, या 19.2.1) को दर्शाती हैं।

2. अंतरिम सुरक्षा (WAF नियम)

पैचिंग के दौरान, शोषण प्रयासों को रोकने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) नियम तैनात करें:

• AWS WAF: प्रबंधित नियम समूह AWSManagedRulesKnownBadInputsRuleSet (v1.24+) में इस CVE के लिए नियम शामिल हैं।
• Google Cloud Armor: एक पूर्व-कॉन्फ़िगर्ड cve-canary नियम उपलब्ध है।
• Palo Alto Networks: Snort जैसे उत्पादों के लिए सिग्नेचर उपलब्ध हैं।

नोट: WAF नियम एक अस्थायी, अपूर्ण शमन हैं। वे पैच करने की आवश्यकता को प्रतिस्थापित नहीं करते।

3. समझौता संकेतक (IOCs)

शोषण प्रयासों के इन संकेतों के लिए लॉग की समीक्षा करें:

• नेटवर्क: next-action या rsc-action-id हेडर वाले POST अनुरोध। $@ या "status":"resolved_model" जैसे पैटर्न वाले अनुरोध निकाय।
• होस्ट: Node.js प्रक्रियाओं द्वारा कमांडों का अप्रत्याशित निष्पादन (whoami, id, uname), /etc/passwd का पठन, या /tmp/ में फ़ाइल लेखन (जैसे, pwned.txt)।

⚖️ कानूनी, नैतिकता और जिम्मेदार प्रकटीकरण

यह टूल 10.0 के CVSS स्कोर (अधिकतम गंभीरता) वाली भेद्यता प्रदर्शित करता है जो सक्रिय, राज्य-प्रायोजित शोषण के अधीन है।

• प्राधिकरण आवश्यक है: परीक्षण केवल आपके स्वामित्व और नियंत्रण वाले वातावरण (जैसे, localhost, पृथक प्रयोगशालाएँ) तक सीमित होना चाहिए। अनधिकृत परीक्षण अवैध है।
• जिम्मेदार प्रकटीकरण: यदि आप किसी भेद्य तृतीय-पक्ष सिस्टम की खोज करते हैं, तो उसका शोषण न करें। अपने निष्कर्षों का दस्तावेज़ीकरण करें और उन्हें सिस्टम स्वामी को जिम्मेदारी से प्रकट करें।
• उद्देश्य: यह टूल शिक्षा, अधिकृत पैनेट्रेशन परीक्षण और सुरक्षा पेशेवरों को पैचिंग को प्राथमिकता देने के लिए खतरे को समझने में मदद करने के लिए है।

🔗 संदर्भ और क्रेडिट

• आधिकारिक Next.js सलाह (CVE-2025-66478)
• CVE-2025-55182 के लिए NVD प्रविष्टि
• खोज: लाचलन डेविडसन, जिन्होंने भेद्यता की खोज की और जिम्मेदारी से प्रकट किया।
• खतरा खुफिया: AWS, Wiz और अन्य टीमें जो वास्तविक दुनिया के शोषण पर नज़र रखती हैं।

याद रखें: यह टूल प्रदर्शित करता है कि पैचिंग अत्यावश्यक क्यों है। इस ज्ञान का उपयोग सुरक्षा सुधारने और सिस्टमों की रक्षा करने के लिए करें, न कि उन्हें समझौता करने के लिए। सुनिश्चित करें कि आपकी सभी निर्भरताएँ ऊपर सूचीबद्ध पैच किए गए संस्करणों में अपडेट हैं।

लेखक

ताहा मौनीर