Next.js React2Shell（CVE-2025-55182）エクスプロイトツール

認可されたローカルテスト環境のみで、重大な React2Shell 脆弱性（CVE-2025-55182 / CVE-2025-66478）を実証するための概念実証（PoC）ツールです。

⚠️ 重大な警告：活発な悪用が発生中

この脆弱性（CVSS 10.0）は、高度な脅威アクターによって活発に悪用されています。 Amazon Threat Intelligence によると、Earth Lamia や Jackpot Panda を含む複数の中国関連の国家支援グループが、開示から数時間以内に公開エクスプロイトを武器化し始めました。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を既知の悪用済み脆弱性（KEV）カタログに追加しました。

• 法的利用のみ：所有しているシステム、または明示的な書面によるテスト許可を得たシステムに対してのみ使用してください。
• 即時パッチ適用必須：脆弱な場合、直ちに更新する必要があります。パッチ適用が唯一の決定的な緩和策です。
• 無保証：このツールは、教育目的および認可されたセキュリティ評価目的のみで使用されます。

📄 脆弱性の概要

CVE-2025-55182（React2Shell）は、React Server Components（RSC）の "Flight" プロトコルにおける、認証前のリモートコード実行（RCE）の重大な脆弱性です。別の識別子である CVE-2025-66478 は Next.js 用に割り当てられましたが、CVE-2025-55182 の重複として却下されました。両者は同じ根本原因を共有しているためです。

• 根本原因：React のサーバーサイドパッケージにおける安全でない逆シリアル化。Flight プロトコルのデコードロジックが、攻撃者が制御するペイロードを適切に検証できないため、プロトタイプ汚染とサーバーサイドの実行経路への影響が可能になります。
• 攻撃ベクトル：認証不要。攻撃者は、特別に細工された単一の HTTP POST リクエストをサーバーエンドポイントに送信することで、エクスプロイトをトリガーできます。
• 信頼性：テストにより、脆弱なデフォルト構成に対する悪用の成功率はほぼ100%であることが示されています。
• 影響範囲：React Server Components（RSC）をサポートするアプリケーションは、サーバー関数を明示的に実装していない場合でも脆弱です。

📖 使用方法

基本構文

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

使用例

# Target specific URL
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 影響を受けるソフトウェアとパッチ適用済みバージョン

この脆弱性は特定の React パッケージに起因し、それらをバンドルするすべてのフレームワークに影響を与えます。

影響を受けないもの：Next.js 13.x、Next.js 14.x の安定版リリース、Pages Router アプリケーション、および Edge Runtime は影響を受けません。

🔬 技術的詳細と悪用

Flight プロトコルの欠陥

RSC Flight プロトコルは、クライアントとサーバー間の通信のためにデータをシリアル化します。脆弱性はサーバー側の逆シリアル化ロジックにあり、受信したペイロードからオブジェクトプロパティを適切な検証なしに安全でない方法で展開します。これにより、攻撃者は __proto__ や constructor などの悪意のあるキーをリクエストに注入でき、プロトタイプ汚染につながります。

プロトタイプチェーンが汚染されると、サーバーは攻撃者の影響を受けた実行経路をたどります。これは連鎖させて、サーバー権限で任意の JavaScript コードを実行し、完全なリモートコード実行（RCE）につなげることができます。

悪用後の活動

セキュリティ研究者は、以下のような結果につながる悪用の成功を観察しています：

• 認証情報の収集：クラウド認証情報（例：.aws/credentials）の特定と外部送信の試み。
• 暗号通貨マイニング：XMRig などのマイナーの展開。
• マルウェアの展開：Sliver C2 フレームワークなどのインストール。

🛡️ 緩和策と対応

1. 即時パッチ適用（主要な解決策）

パッチ適用は必須であり、脆弱性を完全に排除する唯一の方法です。 脆弱なコード経路を無効化する設定は存在しません。

# For Next.js users, upgrade to the latest patched version in your release line.
# Example: If you are on Next.js 15.5.x:
npm install [email protected]

# Also ensure React dependencies are updated:
npm install react@latest react-dom@latest

package-lock.json または yarn.lock ファイルが、パッチ適用済みの react-server-dom-* パッケージバージョン（19.0.1、19.1.2、または 19.2.1）を反映していることを確認してください。

2. 暫定対策（WAF ルール）

パッチ適用までの間、エクスプロイト試行をブロックする Web アプリケーションファイアウォール（WAF）ルールを導入してください：

• AWS WAF：マネージドルールグループ AWSManagedRulesKnownBadInputsRuleSet（v1.24+）には、この CVE のルールが含まれています。
• Google Cloud Armor：事前設定済みの cve-canary ルールが利用可能です。
• Palo Alto Networks：Snort などの製品向けシグネチャが利用可能です。

注記：WAF ルールは一時的で不完全な緩和策です。パッチ適用の必要性に取って代わるものではありません。

3. 侵害の指標（IOC）

悪用試行の兆候についてログを確認してください：

• ネットワーク：next-action または rsc-action-id ヘッダーを含む POST リクエスト。$@ や "status":"resolved_model" などのパターンを含むリクエストボディ。
• ホスト：Node.js プロセスによる予期しないコマンド実行（whoami、id、uname）、/etc/passwd の読み取り、または /tmp/ へのファイル書き込み（例：pwned.txt）。

⚖️ 法的注意、倫理、および責任ある開示

このツールは、CVSS スコア 10.0（最大深刻度） であり、国家支援による活発な悪用が進行中の脆弱性を実証するものです。

• 許可が必要：テストは、所有および管理している環境（例：localhost、隔離されたラボ）に限定する必要があります。無許可のテストは違法です。
• 責任ある開示：脆弱な第三者システムを発見した場合、それを悪用しないでください。調査結果を文書化し、システム所有者に責任を持って開示してください。
• 目的：このツールは、教育、認可されたペネトレーションテスト、およびセキュリティ専門家が脅威を理解してパッチ適用を優先できるように支援することを目的としています。

🔗 参考情報とクレジット

• 公式 Next.js アドバイザリ（CVE-2025-66478）
• CVE-2025-55182 の NVD エントリ
• 発見者：脆弱性を発見し、責任を持って開示した Lachlan Davidson。
• 脅威インテリジェンス：実際の悪用を追跡している AWS、Wiz、およびその他のチーム。

忘れないでください：このツールはパッチ適用が緊急である理由を示しています。この知識を、システムを侵害するためではなく、セキュリティを向上させシステムを守るために使用してください。すべての依存関係を上記のパッチ適用済みバージョンに更新してください。