CVE-2025-55182 스캐너

CVE-2025-55182에 대한 개념 증명 스캐너로, React Server Components(RSC)의 중요한 인증되지 않은 원격 코드 실행(RCE) 취약점입니다.

개요

2025년 12월 3일, React Server Components를 사용하는 React 19.x 및 Next.js 애플리케이션에 영향을 미치는 중요한 취약점이 공개되었습니다. 이 결함은 RSC "Flight" 프로토콜의 역직렬화 로직에 존재하며, 공격자가 조작된 HTTP 요청을 통해 서버에서 임의의 코드를 실행할 수 있게 합니다.

심각도

영향

• 인증되지 않은 원격 코드 실행
• 전체 서버 장악
• 환경 변수에서 자격 증명 수집
• 클라우드 메타데이터 유출
• 인프라 내 측면 이동

영향을 받는 버전

사용법

단일 대상 스캔

go run ./cmd/main.go -t https://example.com

대화형 셸이 포함된 단일 대상

go run ./cmd/main.go -t https://example.com -shell

파일에서 배치 스캔

go run ./cmd/main.go -f targets.txt -c 20

결과 내보내기

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

옵션

출력 예시

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] 취약  https://app.example.com/ 142ms
[-] 안전  https://api.example.com/ 203ms
[!] 오류 https://internal.example.com/ (시간 초과) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
스캔 완료

  스캔한 대상:    3
  취약:         1 (33%)
  안전:               1
  오류:             1

  기간:           15.4s
  평균 응답:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
취약 대상

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
해결 방법

  패치된 버전으로 업그레이드:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

기술 세부 사항

이 취약점은 RSC "Flight" 프로토콜이 직렬화된 페이로드를 처리하는 방식에 존재합니다. 특수하게 조작된 multipart form 데이터를 처리할 때 서버가 페이로드 구조를 제대로 검증하지 못하여 프로토타입 오염(prototype pollution)이 발생하고, 이로 인해 임의 코드 실행이 가능해집니다.

공격 벡터

1. 공격자가 POST 요청을 통해 변형된 RSC 페이로드를 전송
2. 서버가 적절한 검증 없이 페이로드를 역직렬화
3. 프로토타입 오염으로 생성자 접근 허용
4. Node.js 컨텍스트에서 임의의 JavaScript 실행
5. 리디렉션 헤더를 통해 명령 출력 유출

탐지

다음을 포함하는 POST 요청을 찾으십시오:

• Next-Action 헤더
• __proto__ 참조가 포함된 Multipart form 데이터
• 비정상적인 X-Action-Redirect 응답

해결 방법

1. 즉시: 위에 나열된 패치된 버전으로 업그레이드
2. WAF 규칙: 본문에 __proto__가 포함된 요청 차단
3. 모니터링: 의심스러운 Next-Action 헤더 패턴에 대한 알림
4. 네트워크: Next.js 서버의 아웃바운드 연결 제한

면책 조항

내부 전용

이 도구는 승인된 보안 테스트 전용입니다. 소유하고 있거나 테스트할 명시적 권한이 있는 시스템에만 사용하십시오. 컴퓨터 시스템에 대한 무단 액세스는 불법입니다.

참고 자료

• Wiz Research Advisory
• React Security Bulletin
• Vercel Advisory

라이선스

내부 전용. 배포 금지.