Next.js React2Shell (CVE-2025-55182) 익스플로잇 도구

승인된 로컬 테스트 환경에서만 심각한 React2Shell 취약점(CVE-2025-55182 / CVE-2025-66478)을 시연하기 위한 개념 증명 도구입니다.

⚠️ 중요 경고: 활발한 악용

이 취약점(CVSS 10.0)은 정교한 위협 행위자들에 의해 활발히 악용되고 있습니다. Amazon 위협 인텔리전스에 따르면, Earth Lamia 및 Jackpot Panda를 포함한 여러 중국 관련 국가 후원 그룹이 공개 익스플로잇이 공개된 지 몇 시간 만에 무기화하기 시작했습니다. 미국 사이버보안 및 인프라 보안국(CISA)은 이를 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다.

• 법적 용도로만 사용: 귀하가 소유하거나 명시적인 서면 승인을 받은 시스템에 대해서만 사용하십시오.
• 즉시 패치 필요: 취약한 경우, 즉시 업데이트해야 합니다. 패치가 유일한 최종 완화 방법입니다.
• 보증 없음: 이 도구는 교육 및 승인된 보안 평가 목적으로만 제공됩니다.

📄 취약점 개요

CVE-2025-55182 (React2Shell)는 React Server Components (RSC) "Flight" 프로토콜의 중요한 인증 전 원격 코드 실행(RCE) 취약점입니다. 별도의 식별자인 CVE-2025-66478이 Next.js에 대해 할당되었으나 CVE-2025-55182의 중복으로 기각되었으며, 둘 다 동일한 근본 원인을 공유합니다.

• 근본 원인: React 서버측 패키지의 안전하지 않은 역직렬화. Flight 프로토콜의 디코딩 로직이 공격자가 제어하는 페이로드를 적절히 검증하지 못하여 프로토타입 오염 및 서버측 실행 경로에 대한 영향력을 허용합니다.
• 공격 벡터: 인증 불필요. 공격자는 단일하게 제작된 HTTP POST 요청을 서버 엔드포인트로 보내 익스플로잇을 트리거할 수 있습니다.
• 신뢰성: 테스트 결과 취약한 기본 구성에 대해 악용 신뢰도가 거의 100%에 이릅니다.
• 범위: 애플리케이션이 React Server Components(RSC)를 지원하는 경우, 서버 함수를 명시적으로 구현하지 않더라도 취약합니다.

📖 사용법

기본 구문

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

예제

# 특정 URL 대상
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 영향을 받는 소프트웨어 및 패치 버전

취약점은 특정 React 패키지에서 비롯되며, 이를 번들하는 모든 프레임워크에 영향을 미칩니다.

영향 없음: Next.js 13.x, Next.js 14.x 안정 버전, Pages Router 애플리케이션, Edge Runtime은 영향을 받지 않습니다.

🔬 기술 세부 사항 및 악용

Flight 프로토콜의 결함

RSC Flight 프로토콜은 클라이언트-서버 통신을 위해 데이터를 직렬화합니다. 취약점은 서버의 역직렬화 로직에 있으며, 들어오는 페이로드의 객체 속성을 적절한 검증 없이 안전하지 않게 확장합니다. 이를 통해 공격자는 요청에 악성 키(예: __proto__ 또는 constructor)를 주입할 수 있으며, 이는 프로토타입 오염으로 이어집니다.

프로토타입 체인이 오염되면 서버는 공격자가 영향을 미치는 실행 경로를 따릅니다. 이는 서버 권한으로 임의의 JavaScript 코드를 실행하도록 연결되어 완전한 원격 코드 실행(RCE)에 이릅니다.

악용 후 활동

보안 연구원들은 성공적인 악용이 다음 활동으로 이어지는 것을 관찰했습니다:

• 자격 증명 수집: 클라우드 자격 증명(예: .aws/credentials) 식별 및 유출 시도.
• 암호화폐 채굴: XMRig과 같은 채굴기 배포.
• 멀웨어 배포: Sliver C2 프레임워크와 같은 프레임워크 설치.

🛡️ 완화 및 대응

1. 즉시 패치 (주요 해결책)

패치는 필수이며 취약점을 완전히 제거할 수 있는 유일한 방법입니다. 취약한 코드 경로를 비활성화하는 구성 설정은 없습니다.

# Next.js 사용자의 경우, 릴리스 라인의 최신 패치 버전으로 업그레이드하십시오.
# 예: Next.js 15.5.x를 사용 중인 경우:
npm install [email protected]

# 또한 React 종속성도 업데이트되었는지 확인하십시오:
npm install react@latest react-dom@latest

확인: package-lock.json 또는 yarn.lock 파일이 패치된 react-server-dom-* 패키지 버전(19.0.1, 19.1.2, 또는 19.2.1)을 반영하는지 확인하십시오.

2. 임시 보호 조치 (WAF 규칙)

패치하는 동안 웹 애플리케이션 방화벽(WAF) 규칙을 배포하여 악용 시도를 차단하십시오:

• AWS WAF: 관리형 규칙 그룹 AWSManagedRulesKnownBadInputsRuleSet(v1.24+)에 이 CVE에 대한 규칙이 포함되어 있습니다.
• Google Cloud Armor: 사전 구성된 cve-canary 규칙을 사용할 수 있습니다.
• Palo Alto Networks: Snort와 같은 제품에 대한 시그니처를 사용할 수 있습니다.

참고: WAF 규칙은 일시적이고 불완전한 완화 방법입니다. 패치의 필요성을 대체하지 않습니다.

3. 침해 지표(IOC)

로그에서 이러한 악용 시도의 징후를 검토하십시오:

• 네트워크: next-action 또는 rsc-action-id 헤더가 있는 POST 요청. $@ 또는 "status":"resolved_model" 패턴이 포함된 요청 본문.
• 호스트: Node.js 프로세스에 의한 예상치 못한 명령 실행(whoami, id, uname), /etc/passwd 읽기, 또는 /tmp/에 파일 쓰기(예: pwned.txt).

⚖️ 법적 고려 사항, 윤리 및 책임 있는 공개

이 도구는 CVSS 점수 10.0(최대 심각도) 이며 국가 후원 하에 활발히 악용되고 있는 취약점을 시연합니다.

• 승인 필요: 테스트는 귀하가 소유하고 통제하는 환경(예: localhost, 격리된 랩)으로 제한되어야 합니다. 승인되지 않은 테스트는 불법입니다.
• 책임 있는 공개: 취약한 제3자 시스템을 발견한 경우, 이를 악용하지 마십시오. 발견 사항을 문서화하고 시스템 소유자에게 책임 있게 공개하십시오.
• 목적: 이 도구는 교육, 승인된 침투 테스트, 보안 전문가가 위협을 이해하여 패치 우선 순위를 지정하도록 돕기 위한 것입니다.

🔗 참고 자료 및 크레딧

• 공식 Next.js 권고 (CVE-2025-66478)
• 발견: Lachlan Davidson, 취약점을 발견하고 책임 있게 공개했습니다.
• 위협 인텔리전스: AWS, Wiz 및 현장 악용을 추적하는 기타 팀.

기억하십시오: 이 도구는 패치가 시급한 이유를 보여줍니다. 이 지식을 사용하여 보안을 개선하고 시스템을 방어하십시오. 시스템을 손상시키지 마십시오. 모든 종속성을 위에 나열된 패치된 버전으로 업데이트했는지 확인하십시오.