Next.js React2Shell (CVE-2025-55182) Expl0it

Uno strumento proof-of-concept per dimostrare la critica vulnerabilità React2Shell (CVE-2025-55182 / CVE-2025-66478) esclusivamente su ambienti di test locali autorizzati.

⚠️ AVVERTENZA CRITICA: SFRUTTAMENTO ATTIVO

• SOLO USO LEGALE: Utilizzalo esclusivamente contro sistemi di tua proprietà o per i quali disponi di un'autorizzazione scritta esplicita al test.
• PATCH IMMEDIATA RICHIESTA: Se vulnerabile, devi aggiornare immediatamente. La patch è l'unica mitigazione definitiva.
• NESSUNA GARANZIA: Questo strumento è destinato esclusivamente a scopi educativi e di valutazione della sicurezza autorizzata.

📄 Panoramica della Vulnerabilità

CVE-2025-55182 (React2Shell) è una vulnerabilità critica di Remote Code Execution (RCE) pre-autenticazione nel protocollo "Flight" dei React Server Components (RSC). Un identificatore separato, CVE-2025-66478, è stato assegnato per Next.js ma è stato successivamente rifiutato in quanto duplicato di CVE-2025-55182, poiché entrambi condividono la stessa causa principale.

• Causa Principale: Deserializzazione non sicura nel pacchetto lato server di React. La logica di decodifica del protocollo Flight non valida correttamente i payload controllati dall'attaccante, consentendo la prototype pollution e l'influenza sui percorsi di esecuzione lato server.
• Vettore di Attacco: Non autenticato. Gli attaccanti possono attivare l'exploit inviando una singola richiesta HTTP POST appositamente predisposta a un endpoint del server.
• Affidabilità: I test hanno dimostrato che lo sfruttamento ha un'affidabilità vicina al 100% contro configurazioni predefinite vulnerabili.
• Ambito: Un'applicazione è vulnerabile se supporta React Server Components (RSC), anche se non implementa esplicitamente le Server Functions.

📖 Utilizzo

Sintassi di Base

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

Esempi

# Target specific URL
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 Software Interessati e Versioni Patchate

La vulnerabilità ha origine in specifici pacchetti React e colpisce qualsiasi framework che li includa.

Non Interessati: Next.js 13.x, le versioni stabili di Next.js 14.x, le applicazioni Pages Router e l'Edge Runtime non sono interessati.

🔬 Dettagli Tecnici e Sfruttamento

Il Difetto nel Protocollo Flight

Il protocollo Flight di RSC serializza i dati per la comunicazione client-server. La vulnerabilità risiede nella logica di deserializzazione lato server, che espande in modo non sicuro le proprietà degli oggetti dal payload in arrivo senza un'adeguata validazione. Ciò consente a un attaccante di iniettare chiavi dannose (come __proto__ o constructor) nella richiesta, portando alla prototype pollution.

Una volta inquinata la catena dei prototipi, il server segue percorsi di esecuzione influenzati dall'attaccante. Questo può essere concatenato per eseguire codice JavaScript arbitrario con i privilegi del server, portando alla piena Remote Code Execution (RCE).

Attività Post-Sfruttamento

I ricercatori di sicurezza hanno osservato exploit riusciti che portano a:

• Raccolta di Credenziali: Tentativi di identificare ed esfiltrare credenziali cloud (ad es., da .aws/credentials).
• Mining di Criptovalute: Distribuzione di miner come XMRig.
• Distribuzione di Malware: Installazione di framework come Sliver C2.

🛡️ Mitigazione e Risposta

1. Patch Immediata (Soluzione Primaria)

La patch è obbligatoria ed è l'unico modo per eliminare completamente la vulnerabilità. Non esiste alcuna impostazione di configurazione per disabilitare il percorso di codice vulnerabile.

# For Next.js users, upgrade to the latest patched version in your release line.
# Example: If you are on Next.js 15.5.x:
npm install [email protected]

# Also ensure React dependencies are updated:
npm install react@latest react-dom@latest

Verifica che i file package-lock.json o yarn.lock riflettano le versioni patchate dei pacchetti react-server-dom-* (19.0.1, 19.1.2 o 19.2.1).

2. Protezioni Temporanee (Regole WAF)

In attesa della patch, implementa regole Web Application Firewall (WAF) per bloccare i tentativi di exploit:

• AWS WAF: Il gruppo di regole gestite AWSManagedRulesKnownBadInputsRuleSet (v1.24+) include regole per questa CVE.
• Google Cloud Armor: È disponibile una regola preconfigurata cve-canary.
• Palo Alto Networks: Sono disponibili firme per prodotti come Snort.

Nota: Le regole WAF sono una mitigazione temporanea e incompleta. Non sostituiscono la necessità di applicare la patch.

3. Indicatori di Compromissione (IOC)

Esamina i log per questi segni di tentativi di sfruttamento:

• Rete: Richieste POST con header next-action o rsc-action-id. Corpi di richiesta contenenti pattern come $@ o "status":"resolved_model".
• Host: Esecuzione inattesa di comandi (whoami, id, uname), letture di /etc/passwd o scritture di file in /tmp/ (ad es., pwned.txt) da parte di processi Node.js.

⚖️ Aspetti Legali, Etica e Divulgazione Responsabile

Questo strumento dimostra una vulnerabilità con un punteggio CVSS di 10.0 (Gravità Massima) attualmente oggetto di sfruttamento attivo sponsorizzato da stati.

• Autorizzazione Richiesta: I test devono essere limitati ad ambienti di tua proprietà e sotto il tuo controllo (ad es., localhost, laboratori isolati). I test non autorizzati sono illegali.
• Divulgazione Responsabile: Se scopri un sistema di terze parti vulnerabile, non sfruttarlo. Documenta le tue scoperte e divulgale in modo responsabile al proprietario del sistema.
• Scopo: Questo strumento è pensato per l'educazione, il penetration testing autorizzato e per aiutare i professionisti della sicurezza a comprendere la minaccia al fine di dare priorità alla patch.

🔗 Riferimenti e Crediti

• Advisory Ufficiale di Next.js (CVE-2025-66478)
• Voce NVD per CVE-2025-55182
• Scoperta: Lachlan Davidson, che ha scoperto e divulgato in modo responsabile la vulnerabilità.
• Threat Intelligence: AWS, Wiz e altri team che monitorano lo sfruttamento in-the-wild.

Ricorda: Questo strumento dimostra perché la patch è urgente. Usa questa conoscenza per migliorare la sicurezza e difendere i sistemi, non per comprometterli. Assicurati che tutte le tue dipendenze siano aggiornate alle versioni patchate elencate sopra.

AUTORE

TAHA MOUNIR