CVE-2025-55182 Exploit modulare con bypass WAF

Uno script Python che fornisce una shell interattiva per sfruttare la critica vulnerabilità RCE (CVE-2025-55182) in applicazioni React Server Components e Next.js vulnerabili. Questo exploit mira al difetto di deserializzazione che consente l'esecuzione remota di codice non autenticata. Include un sistema modulare per aggiungere tecniche di bypass WAF.

[!NOTE] Questo exploit è progettato per interagire con l'endpoint del protocollo RSC vulnerabile. I risultati dell'esecuzione vengono catturati tramite il meccanismo di risposta del server. I comandi che non producono output restituiranno (empty).

[!CAUTION] Questo codice è solo a scopo di ricerca e formazione. È inteso ad aiutare a comprendere, rilevare e correggere la vulnerabilità CVE-2025-55182. Non utilizzarlo contro sistemi senza esplicita autorizzazione.

L'uso di questo script è a rischio dell'utente e gli autori non si assumono alcuna responsabilità per usi impropri o conseguenze indesiderate.

Utilizzando questo codice, l'utente riconosce e accetta quanto segue:

• L'utente è l'unico responsabile di eventuali conseguenze legali derivanti dall'uso di questo script.
• L'utente non riterrà gli autori responsabili di danni, perdite o azioni legali derivanti dall'uso di questo codice.
• L'utente accetta di conformarsi a tutte le leggi e i regolamenti applicabili.
• L'utente riconosce che l'uso di questo script contro sistemi senza autorizzazione può violare leggi e termini di servizio, portando potenzialmente a gravi sanzioni.
• All'utente è consigliato di consultare il proprio consulente legale prima di utilizzare questo codice.

Dettagli della vulnerabilità

• ID CVE: CVE-2025-55182 (React Server Components)
• CVE correlato: CVE-2025-66478 (impatto a valle su Next.js)
• Gravità: Critica (CVSS 10.0)
• Descrizione: Vulnerabilità di esecuzione remota di codice (RCE) non autenticata in React Server Components, che colpisce le applicazioni che utilizzano Next.js App Router con versioni vulnerabili di React.
• Versioni di React interessate: 19.0, 19.1.0, 19.1.1, 19.2.0
• Versioni di Next.js interessate: 15.x, 16.x, 14.3.0-canary.77+
• Versioni di React corrette: >= 19.0.1, >= 19.1.2, >= 19.2.1
• Versioni di Next.js corrette: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Moduli di bypass WAF

Questo exploit dispone di un sistema modulare dinamico per il bypass WAF. I moduli sono memorizzati nella directory waf_modules come file Python separati. Ogni modulo deve definire una funzione modify_request(body, headers) che riceve il corpo e le intestazioni della richiesta predefinita, li modifica come necessario per il bypass e restituisce i nuovi body, headers.

• Aggiunta di un modulo: crea un nuovo file Python (ad es. bypass_custom.py) nella directory waf_modules contenente la funzione modify_request.
• Utilizzo di un modulo: esegui lo script con il flag --help per vedere le opzioni di bypass disponibili (ad es. --bypass-custom per bypass_custom.py). Usa il flag corrispondente per attivare il modulo.

Esempio: un modulo bypass_vercel.py è incluso come esempio e implementa tecniche potenzialmente efficaci contro le distribuzioni Vercel.

Configurazione avanzata della sessione (--modify-request)

Lo script consente la modifica diretta di alcuni attributi dell'oggetto requests.Session utilizzato per effettuare richieste HTTP. Ciò fornisce un controllo granulare su aspetti come la verifica SSL, i timeout e potenzialmente altre impostazioni a livello di sessione.

• Utilizzo: usa il flag --modify-request <KEY> <VALUE>. <KEY> corrisponde a un attributo dell'oggetto requests.Session (ad es. verify, timeout).
• Conversione dei tipi: lo script tenta una conversione di base dei tipi per <VALUE>: true/false diventano booleani, le stringhe numeriche diventano interi o float, altrimenti rimane una stringa.
• Esempio specifico - Verifica SSL:
  • Per abilitare la verifica SSL: --modify-request verify True
  • Per disabilitare la verifica SSL: --modify-request verify False (equivalente al vecchio flag --insecure)
• Aiuto: usa python CVE-2025-55182.py --help-modify-request per una visualizzazione ad albero delle opzioni comuni.

Prerequisiti

• Python 3.x
• Librerie Python richieste (vedi requirements.txt)

Configurazione

1. Installa le dipendenze Python: Si consiglia di utilizzare un ambiente virtuale (ad es. python -m venv venv e source venv/bin/activate su sistemi Unix-like o venv\Scripts\activate su Windows).
   root@kitploit:~

   pip install -r requirements.txt
   

2. Crea la directory waf_modules:
   root@kitploit:~

   mkdir waf_modules
   

   Inserisci i file dei tuoi moduli di bypass WAF (ad es. bypass_vercel.py) all'interno di questa directory.

Esecuzione dell'exploit

1. Configura un ambiente vulnerabile (solo per test):

   root@kitploit:~

   docker run --rm -p 127.0.0.1:3000:3000 ghcr.io/l4rm4nd/cve-2025-55182:latest
   

   Ulteriori informazioni: https://github.com/l4rm4nd/CVE-2025-55182

2. Esegui lo script:

   root@kitploit:~

   python CVE-2025-55182.py --help # To see all options, including WAF bypasses
   # Example with a bypass module:
   python CVE-2025-55182.py --host 127.0.0.1 --port 3000 --endpoint / --bypass-vercel
   

   Se non si utilizzano argomenti da riga di comando, lo script richiederà interattivamente host, porta ed endpoint.

3. Interagisci con la shell:

   • Digita i comandi e premi Invio per eseguirli sul sistema di destinazione.
   • Digita exit o quit per terminare la sessione della shell.