Next.js React2Shell (CVE-2025-55182) शोषण उपकरण

केवल अधिकृत, स्थानीय परीक्षण वातावरण पर महत्वपूर्ण React2Shell भेद्यता (CVE-2025-55182 / CVE-2025-66478) के प्रदर्शन के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट उपकरण।

⚠️ गंभीर चेतावनी: सक्रिय शोषण

यह भेद्यता (CVSS 10.0) परिष्कृत खतरा अभिनेताओं द्वारा सक्रिय रूप से शोषण की जा रही है। Amazon थ्रेट इंटेलिजेंस रिपोर्ट करता है कि Earth Lamia और Jackpot Panda सहित कई चीन-संबंधित राज्य-प्रायोजित समूहों ने प्रकटीकरण के घंटों के भीतर सार्वजनिक शोषण को हथियार बनाना शुरू कर दिया। अमेरिकी साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) ने इसे अपनी Known Exploited Vulnerabilities (KEV) सूची में जोड़ दिया है।

• केवल कानूनी उपयोग: केवल उन प्रणालियों के विरुद्ध उपयोग करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।
• तत्काल पैचिंग आवश्यक: यदि भेद्य है, तो आपको तुरंत अपडेट करना होगा। पैचिंग ही एकमात्र निश्चित शमन है।
• कोई वारंटी नहीं: यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा मूल्यांकन उद्देश्यों के लिए है।

📄 भेद्यता अवलोकन

CVE-2025-55182 (React2Shell) React सर्वर घटकों (RSC) "Flight" प्रोटोकॉल में एक महत्वपूर्ण, प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन (RCE) भेद्यता है। एक अलग पहचानकर्ता, CVE-2025-66478, Next.js के लिए निर्दिष्ट किया गया था लेकिन इसे CVE-2025-55182 का डुप्लिकेट होने के कारण अस्वीकार कर दिया गया है, क्योंकि दोनों एक ही मूल कारण साझा करते हैं।

• मूल कारण: React के सर्वर-साइड पैकेज में असुरक्षित डिसीरियलाइज़ेशन। Flight प्रोटोकॉल की डिकोडिंग लॉजिक हमलावर-नियंत्रित पेलोड को ठीक से मान्य करने में विफल रहती है, जिससे प्रोटोटाइप प्रदूषण और सर्वर-साइड निष्पादन पथों पर प्रभाव की अनुमति मिलती है।
• आक्रमण वेक्टर: अनप्रमाणित। हमलावर सर्वर एंडपॉइंट पर एक एकल, विशेष रूप से तैयार HTTP POST अनुरोध भेजकर शोषण को ट्रिगर कर सकते हैं।
• विश्वसनीयता: परीक्षण से पता चला है कि भेद्य, डिफ़ॉल्ट कॉन्फ़िगरेशन के खिलाफ शोषण की लगभग 100% विश्वसनीयता है।
• दायरा: एक एप्लिकेशन भेद्य है यदि वह React सर्वर घटकों (RSC) का समर्थन करता है, भले ही वह स्पष्ट रूप से सर्वर फ़ंक्शन लागू न करे।

📖 उपयोग

मूल सिंटैक्स

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

उदाहरण

# विशिष्ट URL को लक्षित करें
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 प्रभावित सॉफ्टवेयर और पैच किए गए संस्करण

यह भेद्यता विशिष्ट React पैकेजों में उत्पन्न होती है, जो उन्हें बंडल करने वाले किसी भी फ्रेमवर्क को प्रभावित करती है।

प्रभावित नहीं: Next.js 13.x, Next.js 14.x स्थायी रिलीज़, Pages Router एप्लिकेशन और Edge Runtime प्रभावित नहीं हैं।

🔬 तकनीकी विवरण और शोषण

Flight प्रोटोकॉल में दोष

RSC Flight प्रोटोकॉल क्लाइंट-सर्वर संचार के लिए डेटा को क्रमबद्ध करता है। भेद्यता सर्वर पर डिसीरियलाइज़ेशन लॉजिक में निहित है, जो पर्याप्त सत्यापन के बिना आने वाले पेलोड से ऑब्जेक्ट गुणों को असुरक्षित रूप से विस्तारित करता है। यह एक हमलावर को अनुरोध में दुर्भावनापूर्ण कुंजी (जैसे __proto__ या constructor) इंजेक्ट करने की अनुमति देता है, जिससे प्रोटोटाइप प्रदूषण होता है।

एक बार प्रोटोटाइप श्रृंखला प्रदूषित हो जाने पर, सर्वर हमलावर-प्रभावित निष्पादन पथों का अनुसरण करता है। इसे सर्वर विशेषाधिकारों के साथ मनमाना जावास्क्रिप्ट कोड निष्पादित करने के लिए श्रृंखलाबद्ध किया जा सकता है, जिससे पूर्ण रिमोट कोड निष्पादन (RCE) होता है।

शोषण के बाद की गतिविधि

सुरक्षा शोधकर्ताओं ने सफल शोषण देखा है जो इस ओर ले जाता है:

• क्रेडेंशियल हार्वेस्टिंग: क्लाउड क्रेडेंशियल्स (जैसे, .aws/credentials से) की पहचान करने और उन्हें बाहर निकालने का प्रयास।
• क्रिप्टोकरेंसी माइनिंग: XMRig जैसे माइनर्स की तैनाती।
• मैलवेयर तैनाती: Sliver C2 फ्रेमवर्क जैसे फ्रेमवर्क की स्थापना।

🛡️ शमन और प्रतिक्रिया

1. तत्काल पैचिंग (प्राथमिक समाधान)

पैचिंग अनिवार्य है और भेद्यता को पूरी तरह से समाप्त करने का एकमात्र तरीका है। भेद्य कोड पथ को अक्षम करने के लिए कोई कॉन्फ़िगरेशन सेटिंग नहीं है।

# Next.js उपयोगकर्ताओं के लिए, अपनी रिलीज़ लाइन में नवीनतम पैच किए गए संस्करण में अपग्रेड करें।
# उदाहरण: यदि आप Next.js 15.5.x पर हैं:
npm install [email protected]

# यह भी सुनिश्चित करें कि React निर्भरताएँ अपडेट की गई हैं:
npm install react@latest react-dom@latest

सत्यापित करें कि आपकी package-lock.json या yarn.lock फ़ाइलें पैच किए गए react-server-dom-* पैकेज संस्करणों (19.0.1, 19.1.2, या 19.2.1) को दर्शाती हैं।

2. अंतरिम सुरक्षा (WAF नियम)

पैचिंग के दौरान, शोषण प्रयासों को अवरुद्ध करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) नियम तैनात करें:

• AWS WAF: प्रबंधित नियम समूह AWSManagedRulesKnownBadInputsRuleSet (v1.24+) में इस CVE के लिए नियम शामिल हैं।
• Google Cloud Armor: एक पूर्व-कॉन्फ़िगर cve-canary नियम उपलब्ध है।
• Palo Alto Networks: Snort जैसे उत्पादों के लिए हस्ताक्षर उपलब्ध हैं।

नोट: WAF नियम एक अस्थायी, अपूर्ण शमन हैं। वे पैच करने की आवश्यकता को प्रतिस्थापित नहीं करते।

3. समझौता संकेतक (IOC)

शोषण प्रयासों के इन संकेतों के लिए लॉग की समीक्षा करें:

• नेटवर्क: next-action या rsc-action-id हेडर वाले POST अनुरोध। अनुरोध निकाय में $@ या "status":"resolved_model" जैसे पैटर्न शामिल हैं।
• होस्ट: Node.js प्रक्रियाओं द्वारा कमांड (whoami, id, uname) का अप्रत्याशित निष्पादन, /etc/passwd का पढ़ना, या /tmp/ पर फ़ाइल लेखन (जैसे, pwned.txt)।

⚖️ कानूनी, नैतिकता और जिम्मेदार प्रकटीकरण

यह उपकरण CVSS स्कोर 10.0 (अधिकतम गंभीरता) वाली एक भेद्यता प्रदर्शित करता है जो सक्रिय, राज्य-प्रायोजित शोषण के अधीन है।

• प्राधिकरण आवश्यक है: परीक्षण को आपके स्वामित्व और नियंत्रण वाले वातावरण (जैसे, लोकलहोस्ट, पृथक प्रयोगशालाएं) तक सीमित रखा जाना चाहिए। अनधिकृत परीक्षण गैरकानूनी है।
• जिम्मेदार प्रकटीकरण: यदि आप किसी भेद्य तृतीय-पक्ष प्रणाली की खोज करते हैं, तो इसका शोषण न करें। अपने निष्कर्षों का दस्तावेजीकरण करें और उन्हें जिम्मेदारी से सिस्टम स्वामी को प्रकट करें।
• उद्देश्य: यह उपकरण शिक्षा, अधिकृत पैठ परीक्षण और सुरक्षा पेशेवरों को पैचिंग को प्राथमिकता देने के लिए खतरे को समझने में मदद करने के लिए है।

🔗 संदर्भ और क्रेडिट

• आधिकारिक Next.js सलाह (CVE-2025-66478)
• CVE-2025-55182 के लिए NVD प्रविष्टि
• खोज: Lachlan Davidson, जिन्होंने भेद्यता की खोज की और जिम्मेदारी से प्रकट किया।
• खतरा खुफिया: AWS, Wiz और अन्य टीमें इन-द-वाइल्ड शोषण पर नज़र रख रही हैं।

याद रखें: यह उपकरण दर्शाता है कि पैचिंग क्यों तत्काल है। सुरक्षा में सुधार और प्रणालियों की रक्षा के लिए इस ज्ञान का उपयोग करें, उनसे समझौता करने के लिए नहीं। सुनिश्चित करें कि आपकी सभी निर्भरताएँ ऊपर सूचीबद्ध पैच किए गए संस्करणों में अपडेट की गई हैं।