Next.js React2Shell (CVE-2025-55182) Expl0it

인가된 로컬 테스트 환경에서만 React2Shell 취약점(CVE-2025-55182 / CVE-2025-66478)을 시연하기 위한 개념 증명 도구입니다.

⚠️ 심각한 경고: 활발한 악용

• 법적 사용만 허용: 소유하거나 명시적인 테스트 허가를 받은 시스템에만 사용하십시오.
• 즉시 패치 필요: 취약한 경우 즉시 업데이트해야 합니다. 패치가 유일한 확실한 완화 방법입니다.
• 보증 없음: 이 도구는 교육 및 인가된 보안 평가 목적으로만 사용됩니다.

📄 취약점 개요

CVE-2025-55182 (React2Shell)는 React Server Components(RSC) "Flight" 프로토콜의 심각한 사전 인증 원격 코드 실행(RCE) 취약점입니다. 별도의 식별자 CVE-2025-66478은 Next.js에 할당되었으나 이후 CVE-2025-55182의 중복으로 기각되었으며, 둘은 동일한 근본 원인을 공유합니다.

• 근본 원인: React 서버 측 패키지의 안전하지 않은 역직렬화. Flight 프로토콜의 디코딩 로직이 공격자가 제어하는 페이로드를 적절히 검증하지 못하여 프로토타입 오염 및 서버 측 실행 경로에 영향을 미칠 수 있습니다.
• 공격 벡터: 인증되지 않음. 공격자는 특수하게 조작된 단일 HTTP POST 요청을 서버 엔드포인트로 전송하여 익스플로잇을 트리거할 수 있습니다.
• 신뢰성: 테스트 결과 취약한 기본 구성에 대해 100%에 가까운 신뢰성을 보였습니다.
• 범위: 서버 함수를 명시적으로 구현하지 않더라도 React Server Components(RSC)를 지원하는 애플리케이션은 취약합니다.

📖 사용법

기본 구문

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

예제

# Target specific URL
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 영향을 받는 소프트웨어 및 패치 버전

이 취약점은 특정 React 패키지에서 비롯되며, 이를 번들로 사용하는 모든 프레임워크에 영향을 미칩니다.

영향 없음: Next.js 13.x, Next.js 14.x 안정 버전, Pages Router 애플리케이션, Edge Runtime은 영향을 받지 않습니다.

🔬 기술 세부 정보 및 익스플로잇

Flight 프로토콜의 결함

RSC Flight 프로토콜은 클라이언트-서버 통신을 위해 데이터를 직렬화합니다. 취약점은 서버의 역직렬화 로직에 있으며, 들어오는 페이로드에서 객체 속성을 적절한 검증 없이 안전하지 않게 확장합니다. 이를 통해 공격자는 요청에 악의적인 키(예: __proto__ 또는 constructor)를 주입하여 프로토타입 오염을 유발할 수 있습니다.

프로토타입 체인이 오염되면 서버는 공격자의 영향을 받은 실행 경로를 따릅니다. 이를 연계하여 서버 권한으로 임의의 JavaScript 코드를 실행할 수 있으며, 완전한 원격 코드 실행(RCE)으로 이어집니다.

익스플로잇 후 활동

보안 연구자들은 성공적인 익스플로잇이 다음과 같은 결과를 초래하는 것을 관찰했습니다.

• 자격 증명 수집: 클라우드 자격 증명(예: .aws/credentials)을 식별하고 유출하려는 시도.
• 암호화폐 채굴: XMRig와 같은 채굴기 배포.
• 멀웨어 배포: Sliver C2 프레임워크와 같은 프레임워크 설치.

🛡️ 완화 및 대응

1. 즉시 패치 (기본 해결책)

패치는 의무이며 취약점을 완전히 제거하는 유일한 방법입니다. 취약한 코드 경로를 비활성화하는 구성 설정은 없습니다.

# For Next.js users, upgrade to the latest patched version in your release line.
# Example: If you are on Next.js 15.5.x:
npm install [email protected]

# Also ensure React dependencies are updated:
npm install react@latest react-dom@latest

확인 your package-lock.json 또는 yarn.lock 파일이 패치된 react-server-dom-* 패키지 버전(19.0.1, 19.1.2 또는 19.2.1)을 반영하는지 확인하세요.

2. 임시 보호 조치 (WAF 규칙)

패치 중에는 웹 애플리케이션 방화벽(WAF) 규칙을 배포하여 익스플로잇 시도를 차단하십시오.

• AWS WAF: 관리 규칙 그룹 AWSManagedRulesKnownBadInputsRuleSet(v1.24+)에는 이 CVE에 대한 규칙이 포함되어 있습니다.
• Google Cloud Armor: 사전 구성된 cve-canary 규칙을 사용할 수 있습니다.
• Palo Alto Networks: Snort와 같은 제품에 대한 시그니처를 사용할 수 있습니다.

참고: WAF 규칙은 임시적이고 불완전한 완화 조치입니다. 패치의 필요성을 대체하지 않습니다.

3. 침해 지표 (IOC)

로그에서 이러한 익스플로잇 시도 징후를 검토하십시오.

• 네트워크: next-action 또는 rsc-action-id 헤더가 포함된 POST 요청. $@ 또는 "status":"resolved_model"과 같은 패턴이 포함된 요청 본문.
• 호스트: Node.js 프로세스에 의한 예상치 못한 명령 실행(whoami, id, uname), /etc/passwd 읽기, /tmp/에 파일 쓰기(예: pwned.txt).

⚖️ 법적, 윤리적 및 책임 있는 공개

이 도구는 CVSS 점수 10.0(최고 심각도) 의 취약점을 시연하며, 이 취약점은 현재 국가 지원을 받는 적극적인 악용이 이루어지고 있습니다.

• 승인 필수: 테스트는 소유하고 통제하는 환경(예: 로컬호스트, 격리된 실험실)으로 제한되어야 합니다. 승인되지 않은 테스트는 불법입니다.
• 책임 있는 공개: 취약한 타사 시스템을 발견한 경우 이를 악용하지 마십시오. 발견 사항을 문서화하고 시스템 소유자에게 책임 있게 공개하십시오.
• 목적: 이 도구는 교육, 승인된 침투 테스트, 보안 전문가가 위협을 이해하여 패치에 우선순위를 두도록 돕기 위한 것입니다.

🔗 참고 문헌 및 크레딧

• 공식 Next.js 보안 권고(CVE-2025-66478)
• NVD 항목(CVE-2025-55182)
• 발견: Lachlan Davidson. 취약점을 발견하고 책임 있게 공개했습니다.
• 위협 인텔리전스: AWS, Wiz 및 기타 팀이 실제 악용을 추적하고 있습니다.

기억하세요: 이 도구는 패치가 시급한 이유를 보여줍니다. 이 지식을 사용하여 보안을 개선하고 시스템을 방어하되, 손상시키지 마십시오. 모든 종속성을 위에 나열된 패치된 버전으로 업데이트하십시오.

작성자

TAHA MOUNIR