FOX-RSC ツール
CVE-2025-55182 & CVE-2025-66478
法的免責事項
EN: このツールは、セキュリティ研究および教育目的のみを意図した概念実証（PoC）です。明示的な許可なくシステム上でこのツールを使用することは違法であり、法律により罰せられます。作者（Tiger-Foxx）は誤用に対する一切の責任を負いません。
FR: このツールは、セキュリティ研究および教育目的のみに使用される概念実証（PoC）です。明示的な許可なくシステム上でこのツールを使用することは違法です。
説明
Fox-RSC ツールは、React Server Components (RSC) に影響を与える重大な脆弱性 CVE-2025-55182 (React2Shell) を検出および実証するために設計された、特殊なブラウザ拡張機能およびツールキットです。
このツールキットは、セキュリティ研究者が脆弱なエンドポイントを特定し、制御された環境でリモートコード実行（RCE）ベクターを検証するための包括的なスイートを提供します。
技術的分析: CVE-2025-55182 (React2Shell)
脆弱性クラス: 安全でないデシリアライゼーション / リモートコード実行
CVSS スコア: 10.0 (緊急)
開示日: 2025年12月3日
概要
React2Shellとしても知られるこの重大な脆弱性は、React Server Components (RSC) で使用される Flight プロトコル、具体的には `react-server` パッケージに影響を与えます。これにより、CVSS スコア 10.0 の未認証のリモートコード実行（RCE）が可能になります。
メカニズム
この脆弱性は、RSC ペイロードの安全でないデシリアライゼーションに起因します。
- インジェクション: 攻撃者は特定のペイロードを含む悪意のある HTTP リクエストを作成します。
- デシリアライゼーション: サーバーが Flight プロトコルを使用してこのリクエストを処理する際、入力を適切に検証できません。
- 実行: デシリアライゼーションプロセスにより、サーバーのコンテキスト内で任意の特権的な JavaScript コードの実行がトリガーされます。
悪用可能性と影響
- 高い信頼性: このエクスプロイトは、テスト環境においてほぼ 100% の成功率を持ちます。
- 未認証: RCE をトリガーするためにユーザー資格情報は必要ありません。
- 広範囲な悪用: CISA はこれを既知の悪用された脆弱性（KEV）カタログに追加しました。2025年12月5日以降、クラウド認証情報を標的とし、暗号通貨マイナー（例：XMRig）を展開する脅威アクターによる活発な悪用が観測されています。
悪用の前提条件
- 対象アプリケーションはサーバーサイドで React Server Components (RSC) を利用している必要があります（例：デフォルトのプロダクションモードの Next.js）。
- 注意: アプリケーションがサーバー関数のエンドポイントを明示的に定義していなくても、RSC サポートが有効であれば脆弱性は残ります。
- 攻撃ベクター: RSC サーバーによって処理される露出したエンドポイントはすべて、特別に細工された HTTP リクエストで標的にされる可能性があります。コード変更を必要とせず、標準構成で機能します。
影響を受けるバージョン
- React: 19.0, 19.1.0, 19.1.1, 19.2.0
- Next.js: バージョン 14.3.0-canary.77+, 15.x, 16.x
- その他のフレームワーク: React Router, Vite (RSC プラグイン), Parcel (RSC プラグイン), Waku。
注釈: 純粋なクライアントサイドアプリケーション（SPA）または RSC サポートがないアプリケーションは影響を受けません。
機能
1. Chrome 拡張機能（プレミアムダークテーマ）
- パッシブ検出: HTTP ヘッダー（例：`rsc`, `next-router-state-tree`）および DOM 要素を自動的に分析し、Next.js/RSC アプリケーションを識別します。
- アクティブフィンガープリンティング: Flight プロトコルの存在を確認するために、軽量で非破壊的なプローブを送信します。
- RCE エクスプロイトターミナル: 認可されたターゲット上でコマンド実行（例：`whoami`, `ls -la`）をテストするための組み込みターミナルインターフェース。
Fox-RSC ツール拡張機能のポップアップ。検出セクションとエクスプロイトセクションがあるメインインターフェースを示しています。
エクスプロイトセクションで RCE をテストするための組み込みコマンドテンプレート（whoami, pwd など）。
2. プロキシサーバー (`extension_proxy.py`)
- Python ベースのミドルウェアで、CORS（クロスオリジンリソース共有）制限を回避し、テスト中に拡張機能がリモートターゲットと通信できるようにします。
3. Shodan スキャナー (`shodan_scanner.py`)
- Shodan API を利用して、公開インターネットに露出した潜在的に脆弱なホストを特定する自動偵察スクリプト。
インストール
ブラウザ拡張機能
- Chromium ベースのブラウザで `chrome://extensions/` に移動します。
- デベロッパーモードを有効にします。
- パッケージ化されていない拡張機能を読み込むをクリックします。
- このリポジトリから `extension/` ディレクトリを選択します。
- Fox-RSC ツールのアイコンがブラウザのツールバーに表示されます。
インストール後、ブラウザツールバーに表示される Fox-RSC ツールのアイコン。
プロキシサーバー（推奨）
CORS の干渉なく確実なエクスプロイトテストを行うために：
python extension_proxy.py
サーバーはポート `8765` で待ち受けます。
Shodan スキャナー
有効な Shodan API キーが必要です。
pip install shodan requests tqdm
python shodan_scanner.py
脆弱なホストとスキャン結果を表示する Shodan スキャナーの出力。
緩和策
影響を受けるすべてのシステムには直ちにパッチ適用が必要です。
- React: バージョン 19.0.1, 19.1.2, 19.2.1 以降に更新してください。
- Next.js: 最新の安定版リリースに更新してください。
- ホスティングプロバイダー: 一部のプロバイダーは一時的な緩和策を適用していますが、コードレベルの更新が必須です。
クレジット
開発者: Tiger-Foxx
オリジナルデザインと研究
安全に、そしてセキュアに。
