Strumento di Exploit per Next.js React2Shell (CVE-2025-55182)

Uno strumento proof-of-concept per dimostrare la vulnerabilità critica React2Shell (CVE-2025-55182 / CVE-2025-66478) esclusivamente su ambienti di test locali autorizzati.

⚠️ AVVERTENZA CRITICA: SFRUTTAMENTO ATTIVO

Questa vulnerabilità (CVSS 10.0) viene attivamente sfruttata da sofisticati attori delle minacce. Amazon Threat Intelligence segnala che numerosi gruppi sponsorizzati da stati legati alla Cina, tra cui Earth Lamia e Jackpot Panda, hanno iniziato a trasformare in armi gli exploit pubblici entro poche ore dalla divulgazione. La U.S. Cybersecurity and Infrastructure Security Agency (CISA) lo ha aggiunto al proprio catalogo Known Exploited Vulnerabilities (KEV).

• SOLO USO LEGALE: Utilizzare esclusivamente su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione scritta al test.
• PATCH IMMEDIATA RICHIESTA: Se vulnerabile, è necessario aggiornare immediatamente. La patch è l'unica mitigazione definitiva.
• NESSUNA GARANZIA: Questo strumento è destinato esclusivamente a scopi educativi e di valutazione della sicurezza autorizzata.

📄 Panoramica della Vulnerabilità

CVE-2025-55182 (React2Shell) è una vulnerabilità critica di Remote Code Execution (RCE) pre-autenticazione nel protocollo "Flight" dei React Server Components (RSC). Un identificativo separato, CVE-2025-66478, era stato assegnato per Next.js ma è stato successivamente respinto come duplicato di CVE-2025-55182, poiché entrambi condividono la stessa causa principale.

• Causa Principale: Deserializzazione non sicura nel pacchetto server-side di React. La logica di decodifica del protocollo Flight non valida correttamente i payload controllati dall'attaccante, consentendo la prototype pollution e l'influenza sui percorsi di esecuzione lato server.
• Vettore di Attacco: Non autenticato. Gli attaccanti possono attivare l'exploit inviando una singola richiesta HTTP POST appositamente formulata a un endpoint del server.
• Affidabilità: I test hanno dimostrato che lo sfruttamento ha un'affidabilità vicina al 100% contro configurazioni predefinite vulnerabili.
• Ambito: Un'applicazione è vulnerabile se supporta i React Server Components (RSC), anche se non implementa esplicitamente le Server Functions.

📖 Utilizzo

Sintassi di Base

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

Esempi

# Target specific URL
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 Software Interessati e Versioni Patchate

La vulnerabilità ha origine in specifici pacchetti React e colpisce qualsiasi framework che li includa.

Non Interessati: Next.js 13.x, le release stabili di Next.js 14.x, le applicazioni Pages Router e l'Edge Runtime non sono interessati.

🔬 Dettagli Tecnici e Sfruttamento

Il Difetto nel Protocollo Flight

Il protocollo RSC Flight serializza i dati per la comunicazione client-server. La vulnerabilità risiede nella logica di deserializzazione sul server, che espande in modo non sicuro le proprietà degli oggetti dal payload in ingresso senza un'adeguata validazione. Ciò consente a un attaccante di iniettare chiavi dannose (come __proto__ o constructor) nella richiesta, portando a prototype pollution.

Una volta inquinata la catena dei prototipi, il server segue percorsi di esecuzione influenzati dall'attaccante. Questo può essere concatenato per eseguire codice JavaScript arbitrario con i privilegi del server, portando alla piena Remote Code Execution (RCE).

Attività Post-Sfruttamento

I ricercatori di sicurezza hanno osservato exploit riusciti che portano a:

• Raccolta di Credenziali: Tentativi di identificare ed esfiltrare credenziali cloud (ad esempio da .aws/credentials).
• Mining di Criptovalute: Implementazione di miner come XMRig.
• Distribuzione di Malware: Installazione di framework come il framework C2 Sliver.

🛡️ Mitigazione e Risposta

1. Patch Immediata (Soluzione Principale)

La patch è obbligatoria ed è l'unico modo per eliminare completamente la vulnerabilità. Non esiste alcuna impostazione di configurazione per disabilitare il percorso di codice vulnerabile.

# For Next.js users, upgrade to the latest patched version in your release line.
# Example: If you are on Next.js 15.5.x:
npm install [email protected]

# Also ensure React dependencies are updated:
npm install react@latest react-dom@latest

Verificare che i file package-lock.json o yarn.lock riflettano le versioni patchate dei pacchetti react-server-dom-* (19.0.1, 19.1.2 o 19.2.1).

2. Protezioni Temporanee (Regole WAF)

In attesa della patch, implementare regole Web Application Firewall (WAF) per bloccare i tentativi di exploit:

• AWS WAF: Il gruppo di regole gestite AWSManagedRulesKnownBadInputsRuleSet (v1.24+) include regole per questa CVE.
• Google Cloud Armor: È disponibile una regola preconfigurata cve-canary.
• Palo Alto Networks: Sono disponibili firme per prodotti come Snort.

Nota: Le regole WAF sono una mitigazione temporanea e incompleta. Non sostituiscono la necessità di applicare la patch.

3. Indicatori di Compromissione (IOC)

Esaminare i log per individuare questi segni di tentativi di sfruttamento:

• Rete: Richieste POST con header next-action o rsc-action-id. Corpi delle richieste contenenti pattern come $@ o "status":"resolved_model".
• Host: Esecuzione inattesa di comandi (whoami, id, uname), letture di /etc/passwd o scritture di file in /tmp/ (ad esempio pwned.txt) da parte di processi Node.js.

⚖️ Aspetti Legali, Etica e Divulgazione Responsabile

Questo strumento dimostra una vulnerabilità con un punteggio CVSS di 10.0 (Severità Massima) che è oggetto di sfruttamento attivo sponsorizzato da stati.

• È Richiesta l'Autorizzazione: I test devono essere limitati ad ambienti di cui si possiede e si controlla (ad esempio localhost, laboratori isolati). I test non autorizzati sono illegali.
• Divulgazione Responsabile: Se si scopre un sistema di terze parti vulnerabile, non sfruttarlo. Documentare i risultati e divulgarli in modo responsabile al proprietario del sistema.
• Scopo: Questo strumento è pensato per l'educazione, i test di penetrazione autorizzati e per aiutare i professionisti della sicurezza a comprendere la minaccia al fine di dare priorità alla patch.

🔗 Riferimenti e Crediti

• Avviso Ufficiale Next.js (CVE-2025-66478)
• Voce NVD per CVE-2025-55182
• Scoperta: Lachlan Davidson, che ha scoperto e divulgato responsabilmente la vulnerabilità.
• Threat Intelligence: AWS, Wiz e altri team che monitorano lo sfruttamento in-the-wild.

Ricorda: Questo strumento dimostra perché la patch è urgente. Usa questa conoscenza per migliorare la sicurezza e difendere i sistemi, non per comprometterli. Assicurati che tutte le tue dipendenze siano aggiornate alle versioni patchate elencate sopra.