VPS 継続スキャナー

軽量なオーケストレーターとワーカースキャナー設定で、分割された入力ファイルを大規模/継続的にスキャンします。このリポジトリには、オーケストレーションスクリプト、Dockerベースのワーカーイメージ、繰り返しスキャンを実行して結果を収集するためのヘルパースクリプトが含まれています。

リポジトリ構成

docker-compose.yml
orchestrator.py
README.md
run-continuous-scan.sh
setup.sh
start-scan.sh
output/         # generated outputs
split/          # input files to scan (split into parts)
worker/         # worker image & scanner code
  Dockerfile
  scanner.py
  worker.py

機能

• ワーカーコンテナのプールを調整し、多数の入力ファイルを効率的に処理します。
• クラスターサービスをファイル間で実行し続けることで、繰り返しスキャンを高速化します。
• ファイルごとの出力と、重複排除された統合 results.txt を生成します。
• 一度だけ実行するシンプルなスクリプト、またはディレクトリを監視して新しいファイルを継続的にスキャンするスクリプトを提供します。

前提条件

• Docker および Docker Compose
• Python 3.8以上（ローカル実行または orchestrator.py/ワーカーの編集用）
• bash（Linux/macOS）または Windows の WSL/Git Bash（提供するシェルスクリプト用）

システム要件

• 最小 VPS RAM : 8 GB
• 推奨 VPS RAM : 16 GB

CVE-2025-55182

このスキャンツールは、CVE-2025-55182 に関連する指標を検出および検証するために設計されています。以下に信頼できる詳細情報と実践的なガイダンスを示します。行動に移す前に、必ずベンダーの勧告と公式情報源を確認してください。

概要

• 説明 : React Server Components および関連する server-dom パッケージに影響する、認証前のリモートコード実行の脆弱性。脆弱なコードパスは、Server Function エンドポイントが受信したペイロードを安全でない方法でデシリアライズし、悪用されるとリモートコード実行を可能にします。
• 弱点 : CWE-502（信頼できないデータのデシリアライズ）。
• ベンダーの重大度（Facebook/Meta）: CVSS v3.1 基本スコア 10.0 — 重大（CRITICAL）。
• CISA : このCVEはCISAの既知の悪用された脆弱性カタログに掲載されています。

既知の影響を受けるコンポーネント（NVD/ベンダー勧告からの例）

• React Server Components : 影響を受けるバージョンとして 19.0.0、19.1.0、19.1.1、19.2.0 が報告されています。
• Server DOM パッケージ : react-server-dom-parcel、react-server-dom-turbopack、react-server-dom-webpack。
• 影響を受けるサーバーコンポーネントを使用したいくつかの Next.js/Node.js バンドルも、NVD/ベンダーリファレンスで特定されています。正確な CPE とバージョン範囲については勧告を参照してください。

このスキャナーの使用ガイダンス

• ターゲットリスト（ホスト、URL、その他の成果物）を split/ に配置し、通常のスキャナーフローを実行します（単一ファイルの場合は ./start-scan.sh、多数のファイルを処理する場合は ./run-continuous-scan.sh）。
• ワーカースキャナーは、安全でない Server Function エンドポイントおよびデシリアライズの成果物と一致する指標を探します。結果は output/<input>.output に書き込まれ、scan.log に記録されます。
• このツールは脆弱性を悪用するものではなく、指標を検出します。明示的な許可なしに悪用を試みないでください。

軽減策

• 公式のベンダー勧告に従って、ベンダーのパッチまたはアップグレードを適用してください。RCE脆弱性に対するネットワークレベルの軽減策のみに依存しないでください。
• 直ちにパッチを適用できない場合は、ベンダーおよびCISAの軽減ガイダンスに従ってください（例：Server Function エンドポイントの無効化または制限、WAFルールの適用、影響を受けるサービスの隔離）。
• 悪用が疑われる場合は、影響を受けるホストを隔離し、インシデント対応手順に従ってください。

信頼できる参照元

• NVDエントリ : https://nvd.nist.gov/vuln/detail/CVE-2025-55182
• ベンダー勧告 / Reactブログ : https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• ベンダーセキュリティ勧告（Meta/Facebook） : https://www.facebook.com/security/advisories/cve-2025-55182
• CISA既知の悪用された脆弱性カタログ : https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182
• AWSセキュリティブログ（分析/観測された悪用） : https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
• OSSメーリングリスト / 第三者分析 : http://www.openwall.com/lists/oss-security/2025/12/03/4

クイックスタート（Docker）

1. スキャンしたい各入力チャンクを split/ ディレクトリに配置します（ワーカージョブごとに1ファイル）。

2. クラスターとスキャナーを起動します（推奨）:

# docker-compose で必要なサービス（Redis、MinIO など）とワーカーを起動
docker-compose up -d

# split/ 内のファイルを処理するオーケストレーターを実行
./run-continuous-scan.sh

3. 単一実行のスキャンには以下を使用できます:

./start-scan.sh split/worker1.txt

4. scan.log を確認し、output/ でファイルごとの結果をチェックして進捗を監視します。

tail -f scan.log
ls -lh output/

スクリプトとその機能

• run-continuous-scan.sh — split/ ディレクトリを監視し、ファイルを順次処理します。速度向上のため、ファイル間でクラスターを実行し続けます。
• start-scan.sh — 単一の入力ファイルに対して1回限りのスキャンを実行します。
• setup.sh — 初期プロビジョニングやセットアップタスクのためのヘルパー。
• orchestrator.py — Pythonオーケストレーター（カスタムオーケストレーションロジックのエントリポイント）。
• worker/ — 実際のスキャンを実行するコンテナで使用されるワーカーイメージとコード（Dockerfile、scanner.py、worker.py）。

出力

• ファイルごとの出力は output/<input-name>.output に書き込まれます。
• 処理後、重複排除された統合 results.txt が生成されます（正確な動作についてはオーケストレーターフラグを確認してください）。
• 詳細なログは scan.log に追加されます。

設定

• ワーカー数、タイムアウト、チャンクサイズ、スキャナーフラグなどの調整値は、オーケストレーターまたはシェルスクリプトにあります。環境に合わせて動作を調整するには、これらのファイルを編集してください。

開発

ワーカーイメージをローカルでビルドするには（worker/Dockerfile から）:

docker build -t vps-worker:latest worker/

デバッグのためにワーカーをローカルで実行するには:

python worker/scanner.py --help

トラブルシューティング

• Docker Compose のサービスが起動しない場合は、docker-compose logs を実行してサービスログを確認してください。
• MinIO/Redis が必要とするポートがホストで利用可能であることを確認してください。
• スキャンが遅い場合は、ワーカー数を増やすか、ファイル間でクラスターを実行し続けてください（run-continuous-scan.sh を使用）。

貢献

PR や issue を歓迎します。問題や機能の説明と再現手順を添えて issue を開いてください。

ライセンス

ここにプロジェクトのライセンスを追加してください（例：MIT）。不明な場合は、明示的な LICENSE ファイルを追加してください。

必要であれば、以下の対応も可能です:

• ビルド/ステータス/ライセンス用のバッジを追加
• 簡易な CONTRIBUTING.md と LICENSE ファイルを作成
• 設定可能な環境変数を含めるようにスクリプトを更新