React2Shell 脆弱性バンキングアプリケーションラボ

CVE-2025-55182（React）および CVE-2025-66478（Next.js）を対象とした、意図的に脆弱性を含むバンキングアプリです。React2Shell を学び、検出し、安全に試すために設計されています。パッチ未適用の React 19.0.0 と Next.js 15.0.3 で動作します。

概要

• Next.js App Router と Server Actions で構築された架空の SecureBank です。
• デフォルト構成であり、独自の危険なコードはなく、意図的にパッチ未適用のままになっています。
• RSC「Flight」プロトコルにおける安全でない逆シリアライゼーションを研究し、検出・緩和策を練習するために設計されています。

クイックスタート（Docker 推奨）

# 1. Start the lab
docker-compose up -d

# 2. Open the app
http://localhost:3000

# 3. Stop when done
docker-compose down

デモ認証情報：

admin / admin123
johndoe / password123
janedoe / password456

手動セットアップと開発モード

本番相当の手動実行：

npm install --legacy-peer-deps
npm run build
npm start
# Visit http://localhost:3000

ホットリロード付き開発モード：

npm install --legacy-peer-deps
npm run dev

注意事項：

• 意図的なバージョン固定のため、常に --legacy-peer-deps を使用してください。
• ポート 3000 が使用中の場合は、docker-compose.yml のマッピングを変更するか（例：3001:3000）、起動前に PORT をエクスポートしてください。

クイック運用ステータス

• コンテナ：react2shell-vulnerable-bank
• ポート：3000（HTTP 200 OK を想定）
• 脆弱なバージョン：React 19.0.0、Next.js 15.0.3

便利なコマンド：

docker-compose ps
docker-compose logs -f vulnerable-bank
docker-compose restart
docker-compose build --no-cache && docker-compose up -d

脆弱性サマリー（React2Shell）

• CVE-2025-55182（React）および CVE-2025-66478（Next.js）は、RSC における安全でない逆シリアライゼーションを介して、認証なしのリモートコード実行（RCE）を許容します。

関連する影響を受けるバージョン：

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: >=14.3.0-canary.77、すべての 15.x、16.x（パッチ未適用）

悪用の現実

• デフォルトのアプリに対する公開済みの RCE エクスプロイトはありません。react2shell.com は「Watch this space.（今後に注目）」と述べています。
• child_process、vm、fs を手動で公開する PoC は代表的ではありません。

参照

• Vercel/Next.js Advisory: https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
• The Hacker News: https://thehackernews.com/2025/12/critical-rsc-bugs-in-react-and-nextjs.html
• Slcyber RSC detection: https://slcyber.io/research-center/high-fidelity-detection-mechanism-for-rsc-next-js-rce-cve-2025-55182-cve-2025-66478/
• Assetnote React2Shell scanner: https://github.com/assetnote/react2shell-scanner
• React2Shell info hub: https://react2shell.com/
• Wiz analysis: https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
• Akamai research: https://www.akamai.com/blog/security-research/cve-2025-55182-react-nextjs-server-functions-deserialization-rce