CVE-2025-55182 スキャナー

CVE-2025-55182 の概念実証スキャナーです。これは React Server Components (RSC) における重大な認証不要のリモートコード実行 (RCE) 脆弱性です。

概要

2025年12月3日、React 19.x および React Server Components を使用する Next.js アプリケーションに影響を与える重大な脆弱性が公開されました。この欠陥は RSC "Flight" プロトコルのデシリアライズロジックに存在し、攻撃者が細工した HTTP リクエストを介してサーバー上で任意のコードを実行できるようにします。

深刻度

影響

• 認証不要のリモートコード実行
• サーバーの完全な侵害
• 環境変数からの認証情報の収集
• クラウドメタデータの外部漏洩
• インフラストラクチャ内での横展開

影響を受けるバージョン

使用方法

単一ターゲットスキャン

go run ./cmd/main.go -t https://example.com

インタラクティブシェルを使用した単一ターゲット

go run ./cmd/main.go -t https://example.com -shell

ファイルから一括スキャン

go run ./cmd/main.go -f targets.txt -c 20

結果のエクスポート

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

オプション

出力例

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULN  https://app.example.com/ 142ms
[-] SAFE  https://api.example.com/ 203ms
[!] ERROR https://internal.example.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SCAN COMPLETE

  Targets scanned:    3
  Vulnerable:         1 (33%)
  Safe:               1
  Errors:             1

  Duration:           15.4s
  Avg response:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
VULNERABLE TARGETS

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
REMEDIATION

  Upgrade to patched versions:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

技術詳細

この脆弱性は、RSC "Flight" プロトコルによるシリアライズされたペイロードの処理に存在します。特別に細工されたマルチパートフォームデータを処理する際、サーバーはペイロード構造を適切に検証できず、プロトタイプ汚染を許し、任意のコード実行に至ります。

攻撃ベクトル

1. 攻撃者がPOSTリクエストで不正なRSCペイロードを送信
2. サーバーが適切な検証なしにペイロードをデシリアライズ
3. プロトタイプ汚染によりコンストラクタへのアクセスが可能
4. Node.jsコンテキストで任意のJavaScriptが実行
5. リダイレクトヘッダーを介してコマンド出力が外部に漏洩

検出方法

以下を含むPOSTリクエストを確認します：

• Next-Action ヘッダー
• __proto__ 参照を含むマルチパートフォームデータ
• 不審な X-Action-Redirect レスポンス

修正方法

1. 即時: 上記の修正済みバージョンにアップグレード
2. WAFルール: ボディに __proto__ を含むリクエストをブロック
3. 監視: 不審な Next-Action ヘッダーパターンにアラート
4. ネットワーク: Next.jsサーバーからのアウトバウンド接続を制限

免責事項

内部使用専用

このツールは認可されたセキュリティテストのみを目的としています。所有しているシステム、またはテストする明示的な許可があるシステムに対してのみ使用してください。コンピュータシステムへの不正アクセスは違法です。

参考文献

• Wiz Research Advisory
• React Security Bulletin
• Vercel Advisory

ライセンス

内部使用専用。配布禁止。