Toolkit per la valutazione di RCE in Next.js

Un toolkit Python per validare e investigare CVE-2025-55182, noto anche come React2Shell, in ambienti autorizzati. La vulnerabilità interessa React Server Components e può esporre applicazioni create con framework come Next.js a esecuzione remota di codice non autenticata. Il toolkit combina raccolta di target, validazione di massa, una shell interattiva di test, enumerazione degli host e utility opzionali post-validazione.

Vulnerabilità

• CVE: CVE-2025-55182
• Nome: React2Shell
• Classe: Esecuzione remota di codice non autenticata
• Tecnologia interessata: React Server Components e framework dipendenti, incluse le configurazioni Next.js interessate
• Validazione del toolkit: hosts_scanner.py esegue solo un marcatore fisso echo VULN_TEST durante il rilevamento di massa

Questo repository è un supporto alla valutazione, non un sostituto della consultazione dell'avviso ufficiale e dell'applicazione delle patch del fornitore.

Funzionalità

Strumento	Scopo	Output o effetto
shodan_parser.py	Apre ricerche Shodan autenticate da un elenco di query e raccoglie origini HTTP(S) normalizzate.	Aggiunge host univoci a files/targets.txt.
hosts_scanner.py	Controlla contemporaneamente un elenco di target con un comando fisso VULN_TEST.	Scrive i target confermati in files/vulnerable.txt e i target non riusciti in files/trash.txt.
exploit.py	Ri-valida un singolo target e fornisce una sessione di comandi interattiva.	Stampa l'output dei comandi remoti nel terminale.
universal_scanner.py	Raccoglie informazioni su sistema, container, rete, filesystem, processi, esposizione di credenziali e rischio privilegi.	Salva risultati dettagliati in scan_results.json.
infrastructure/universal_download.py	Trasferisce un file remoto attraverso il canale di comando in blocchi Base64 ripristinabili.	Crea o riprende un file locale e ne verifica la dimensione.
infrastructure/mongo_proxy.py	Usa l'host validato come percorso di rete per l'inventario MongoDB e campionamenti limitati.	Elenca database, collezioni, conteggi e un piccolo campione.
infrastructure/mongo_dump.py	Esporta un database MongoDB o tutti i database non di sistema con un limite per collezione.	Crea un file JSON in /tmp sull'host valutato.
infrastructure/aws_dump.py	Inventaria le risorse AWS disponibili per un ruolo di attività ECS.	Crea un file JSON in /tmp; può includere valori sensibili.
infrastructure/install_ssh_key.py	Aggiunge una chiave pubblica agli authorized_keys dell'utente remoto corrente.	Modifica la configurazione SSH remota e stabilisce la persistenza.
infrastructure/trace_cleaner.py	Rimuove gli artefatti del toolkit e tenta di cancellare cronologie, cache e log.	Modifica in modo distruttivo i file remoti; usare solo durante un esercizio di pulizia approvato.

Gli strumenti dipendenti da RCE prevedono un target simile a Linux con utility shell comuni. Alcuni helper di infrastruttura richiedono inoltre Node.js e i relativi pacchetti npm già disponibili sull'host valutato.

Requisiti

• Python 3.10 o successivo
• Accesso di rete al target autorizzato
• Chromium installato tramite Playwright per shodan_parser.py
• Un account Shodan per la raccolta dei target

Installazione

python -m venv .venv

Attiva l'ambiente:

# Linux o macOS
source .venv/bin/activate

# Windows PowerShell
.\.venv\Scripts\Activate.ps1

Installa le dipendenze:

python -m pip install -r requirements.txt
python -m playwright install chromium

Per la raccolta Shodan, copia .env.example in .env e imposta LOGIN e PASSWORD. Non committare mai .env.

Flusso di lavoro tipico

1. Metti una query Shodan per riga in files/queries.txt, oppure inserisci direttamente i target autorizzati in files/targets.txt.
2. Facoltativamente, raccogli i target con python shodan_parser.py.
3. Esegui il controllo di massa con marcatore fisso:

python hosts_scanner.py --file files/targets.txt --concurrency 50 --timeout 30

4. Controlla files/vulnerable.txt e verifica manualmente proprietà e ambito prima di eseguire qualsiasi utility di esecuzione comandi o infrastruttura.

Per azzerare l'elenco di skip dello scanner:

python hosts_scanner.py --file files/targets.txt --clear-trash

Strumenti per target singolo

python exploit.py https://target.example
python universal_scanner.py https://target.example

Utility di infrastruttura:

python infrastructure/universal_download.py <TARGET> <REMOTE_PATH> [LOCAL_FILE] [CHUNK_SIZE]
python infrastructure/mongo_proxy.py <TARGET> <MONGODB_URI>
python infrastructure/mongo_dump.py <TARGET> <MONGODB_URI> <DATABASE|ALL> [OUTPUT_FILE] [LIMIT]
python infrastructure/aws_dump.py <TARGET> [OUTPUT_FILE]
python infrastructure/install_ssh_key.py <TARGET> [PUBLIC_KEY_PATH]
python infrastructure/trace_cleaner.py <TARGET>

Esegui ogni script senza argomenti per visualizzare il suo help completo da riga di comando.

Limitazioni

• La verifica dei certificati TLS è disabilitata nelle attuali chiamate HTTP client.
• Il rilevamento dipende dai formati di risposta usati dal comportamento Next.js interessato.
• I comandi remoti presuppongono strumenti come bash, base64, dd e timeout.
• I risultati su cloud e database sono limitati dai permessi dell'identità remota.
• Il toolkit non fornisce remediation né prova che un target sia in ambito.