Next.js React2Shell (CVE-2025-55182) Expl0it

React2Shellの重大な脆弱性（CVE-2025-55182 / CVE-2025-66478）を許可されたローカルテスト環境のみで実証するための概念実証ツール。

⚠️ 重要警告：活発な悪用

• 法的使用のみ: 自分が所有する、または明示的な書面による許可を得たシステムに対してのみ使用してください。
• 即時パッチ適用必須: 脆弱な場合は、直ちにアップデートしてください。パッチ適用が唯一の決定的な対策です。
• 無保証: このツールは教育目的および許可されたセキュリティ評価目的のみを対象としています。

📄 脆弱性概要

CVE-2025-55182（React2Shell）は、React Server Components（RSC）"Flight" プロトコルにおける認証前のリモートコード実行（RCE）の重大な脆弱性です。別の識別子 CVE-2025-66478 は Next.js 用に割り当てられましたが、CVE-2025-55182 の重複として却下されました。両者は同じ根本原因を共有しています。

• 根本原因: React のサーバーサイドパッケージにおける安全でないデシリアライゼーション。Flight プロトコルのデコードロジックが攻撃者が制御するペイロードを適切に検証できず、プロトタイプ汚染やサーバー側の実行パスへの影響を許容します。
• 攻撃ベクトル: 認証不要。攻撃者は特別に細工した HTTP POST リクエストをサーバーエンドポイントに1つ送信するだけでエクスプロイトをトリガーできます。
• 信頼性: テストでは、脆弱なデフォルト設定に対してほぼ100%の信頼性で悪用可能であることが示されています。
• 影響範囲: アプリケーションが React Server Components（RSC）をサポートしている場合、Server Functions を明示的に実装していなくても脆弱です。

📖 使用方法

基本構文

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

例

# 特定のURLをターゲットにする
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 影響を受けるソフトウェアとパッチ適用済みバージョン

この脆弱性は特定の React パッケージに起因し、それらをバンドルするすべてのフレームワークに影響します。

影響を受けないもの: Next.js 13.x、Next.js 14.x 安定版リリース、Pages Router アプリケーション、Edge Runtime は影響を受けません。

🔬 技術的詳細と悪用

Flight プロトコルの欠陥

RSC Flight プロトコルはクライアント-サーバー間通信のためにデータをシリアライズします。脆弱性は、サーバー側のデシリアライゼーションロジックにあり、受信ペイロードからオブジェクトのプロパティを安全でない方法で展開し、適切な検証を行いません。これにより、攻撃者はリクエストに悪意のあるキー（__proto__ や constructor など）を注入でき、プロトタイプ汚染につながります。

プロトタイプチェーンが汚染されると、サーバーは攻撃者の影響を受けた実行パスに従います。これを連鎖させてサーバー権限で任意の JavaScript コードを実行し、完全なリモートコード実行（RCE）に至ることができます。

エクスプロイト後の活動

セキュリティ研究者は、以下のような成功したエクスプロイトを観測しています：

• 認証情報の収集: クラウド認証情報（例：.aws/credentials）の特定と外部持ち出しの試み。
• 暗号通貨マイニング: XMRig などのマイナーの展開。
• マルウェアの展開: Sliver C2 フレームワークなどのインストール。

🛡️ 緩和策と対応

1. 即時パッチ適用（主要な解決策）

パッチ適用は必須であり、脆弱性を完全に排除する唯一の方法です。脆弱なコードパスを無効にする設定オプションはありません。

# Next.js ユーザー向け、リリーストレイン内の最新パッチ版にアップグレードしてください。
# 例：Next.js 15.5.x を使用している場合：
npm install [email protected]

# React の依存関係も更新してください：
npm install react@latest react-dom@latest

確認: package-lock.json または yarn.lock ファイルが、パッチ適用済みの react-server-dom-* パッケージバージョン（19.0.1、19.1.2、または 19.2.1）を反映していることを確認してください。

2. 暫定的な保護（WAF ルール）

パッチ適用中の間、Web アプリケーションファイアウォール（WAF）ルールを展開してエクスプロイト試行をブロックします：

• AWS WAF: マネージドルールグループ AWSManagedRulesKnownBadInputsRuleSet（v1.24+）にこの CVE のルールが含まれています。
• Google Cloud Armor: 事前構成された cve-canary ルールが利用可能です。
• Palo Alto Networks: Snort などの製品向けにシグネチャが利用可能です。

注: WAF ルールは一時的で不完全な緩和策です。パッチ適用の代わりにはなりません。

3. 侵害の痕跡（IOC）

ログで以下のエクスプロイト試行の兆候を確認してください：

• ネットワーク: next-action または rsc-action-id ヘッダーを持つ POST リクエスト。リクエスト本文に $@ や "status":"resolved_model" などのパターンが含まれる。
• ホスト: Node.js プロセスによる予期しないコマンド実行（whoami、id、uname）、/etc/passwd の読み取り、または /tmp/ へのファイル書き込み（例：pwned.txt）。

⚖️ 法律、倫理、責任ある開示

このツールは、CVSS スコア 10.0（最大重大度） であり、国家支援による活発な悪用が行われている脆弱性を実証するものです。

• 許可が必要: テストは自分が所有および管理する環境（例：localhost、隔離されたラボ）に限定する必要があります。無許可のテストは違法です。
• 責任ある開示: 脆弱な第三者システムを発見した場合、それを悪用しないでください。発見事項を文書化し、システム所有者に責任を持って開示してください。
• 目的: このツールは、教育、許可された侵入テスト、およびセキュリティ専門家が脅威を理解してパッチ適用を優先することを支援することを目的としています。

🔗 参考文献とクレジット

• 公式 Next.js 勧告 (CVE-2025-66478)
• NVD エントリ CVE-2025-55182
• 発見者: Lachlan Davidson。脆弱性を発見し、責任を持って開示しました。
• 脅威インテリジェンス: AWS、Wiz、およびその他のチームが実際の悪用を追跡しています。

覚えておいてください: このツールはパッチ適用が緊急である理由を示しています。この知識をセキュリティ向上とシステム防御に活用し、侵害に使用しないでください。すべての依存関係を上記のパッチ適用済みバージョンに更新してください。

著者

TAHA MOUNIR