CVE-2025-55184_Testing

CVE-2025-55184をテストするためのPythonスクリプト

CVE-2025-55184 – React Server Components DoSスキャナー

CVE-2025-55184（React Server Components（RSC）に影響を与えるサービス拒否（DoS）脆弱性）を検出するために設計された、安全なセキュリティ検証スクリプトです。

このツールは、内部セキュリティテストおよび管理された評価にのみ使用することを目的としています。 所有しているシステム、または明示的にテストを許可されたシステムに対してのみ使用してください。

概要

CVE-2025-55184 - サービス拒否（DoS） 深刻度: HIGH | CVSSスコア: 7.5

CVE-2025-55184 は、React Server Componentsで使用されるデシリアライズロジックに影響を与えます。 特別に細工されたRSCペイロードにより、サーバーが無限解決ループに陥り、サービス拒否を引き起こす可能性があります。

この状態により、以下のような結果が生じる可能性があります。

• 過剰なCPU消費
• アプリケーションのハングアップまたはクラッシュ
• 正当なユーザーに対するサービスの利用不能

このスキャナーは、標準のRSCエンドポイントに非破壊的な検証ペイロードを送信し、サーバーの動作（応答時間とタイムアウト状態）を評価して、ターゲットが脆弱である可能性があるかどうかを判断します。

影響を受けるパッケージ

公式のReactセキュリティアドバイザリによると、脆弱性は以下のパッケージに影響します。

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

影響を受けるバージョン

以下のバージョンは脆弱です。

• 19.0.0 – 19.0.2
• 19.1.0 – 19.1.2
• 19.2.0 – 19.2.2

これらの脆弱性は、CVE-2025-55182と同じリリースラインに存在します。 以前の修正パッチは不完全であり、すべてのDoSベクトルを完全には修復していませんでした。

修正されたバージョン（確認済み）

Reactは以下のバージョンに修正を公式にバックポートしました。

• 19.0.3
• 19.1.4
• 19.2.3

上記の影響を受けるバージョンを実行している場合は、直ちにアップグレードする必要があります。

このツールの機能

• 制御されたReact Server Componentsデシリアライズペイロードを送信します
• デフォルトの**/_rsc**エンドポイントをターゲットとします
• 応答遅延とタイムアウト動作を測定します
• 潜在的な無限デシリアライズループ状態を特定します
• 明確な脆弱または脆弱でない結果を報告します

このツールは、ターゲットシステムに対してエクスプロイト、永続化、変更、データ抽出を行いません。

インストール

リポジトリをクローンします。

git clone https://github.com/KkHackingLearning/CVE-2025-55184_Testing.git
cd CVE-2025-55184_Testing

依存関係をインストールします。

pip install requests

必要条件:

• Python 3.8以上

使用方法

単一ターゲットスキャン

python3 scanner.py -d http://example.com:3000

出力例

------------------------------------------------------------
   CVE-2025-55184 | React Server Components DoS Scanner
------------------------------------------------------------

Testing http://example.com
Response OK (#s)

Scan Summary
http://example.com -> Not Vulnerable or Vulnerable

結果の解釈

• Not Vulnerable（脆弱でない）
  ターゲットが期待される時間制限内に正常に応答します。

• Vulnerable（脆弱）
  ターゲットの応答が大幅に遅延するかタイムアウトし、潜在的な無限デシリアライズループを示します。

コマンドラインオプション

安全性と許可に関する注意事項

⚠ 重要

このツールは、所有している、または明示的にテストを許可されたシステムに対してのみ使用してください。

許可されていないテストは、以下の違反となる可能性があります。

• 組織のセキュリティポリシー
• 現地または国際法
• 利用規約

作者は、このツールの誤用について一切の責任を負いません。

著者 - _K

~ サイバーセキュリティ研究者_

ライセンス

このプロジェクトは内部セキュリティテストおよび研究目的のみで提供されています。