React2Shell (CVE-2025-55182) — 로컬 RSC 보안 데모

⚠️ 경고 이 저장소는 교육 및 방어적 보안 연구 목적으로만 사용됩니다.

다음 대상에 대해 이 코드를 실행하려고 하지 마십시오:

• 프로덕션 시스템
• 공개 웹사이트
• 소유하지 않았거나 테스트에 대한 명시적 권한을 부여받지 않은 서버

승인되지 않은 취약점 악용은 불법이 될 수 있습니다.

---

📌 개요

이 저장소는 React Server Components(RSC) 및 Next.js와 같은 프레임워크에 영향을 미치는 치명적인 원격 코드 실행(RCE) 취약점인 React2Shell(CVE-2025-55182) 의 실제 영향을 시연합니다.

이 데모는 취약한 환경에서 안전하지 않은 역직렬화가 다음으로 이어질 수 있는지 보여줍니다:

• 서버 측 코드 실행
• 파일시스템 접근
• 디렉터리 열거

모든 테스트는 통제된 환경에서 로컬로 수행되었습니다.

---

🧪 데모 시나리오

데모 스크립트에는 세 가지 독립적인 예제가 포함되어 있습니다:

1. 최소 RCE 증명

   • 서버 측 실행에서 메시지를 기록합니다

2. 파일시스템 쓰기

   • 서버 작업 디렉터리에 파일을 생성합니다

3. 디렉터리 열거

   • 서버 프로세스 디렉터리의 파일을 나열합니다

이러한 예제는 악용이 아닌 영향을 강조하기 위해 의도적으로 단순하게 구성되었습니다.

---

🔧 고수준 시뮬레이션 단계(로컬 전용)

1. 로컬 Next.js 테스트 애플리케이션을 생성합니다
2. 통제된 개발 환경에서 실행합니다
3. 환경이 취약한 구성을 반영하는지 확인합니다
4. 브라우저 컨텍스트에서 데모 스크립트를 실행합니다
5. 서버 측 로그와 파일시스템 변경 사항을 관찰합니다

⚠️ 공개 배포는 필요하지 않으며 권장되지 않습니다.

---

🛡️ 완화 지침

React Server Components를 사용하는 경우:

• 패치된 버전으로 React 및 Next.js를 즉시 업그레이드하세요
• 서버 액션과 RSC 경계를 감사하세요
• 직렬화/역직렬화를 고위험 표면으로 취급하세요
• 비정상적인 RSC 페이로드가 있는지 서버 로그를 모니터링하세요

---

📚 참고 자료

• React2Shell 공식 사이트: https://react2shell.com/
• React 보안 권고:
  https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• 원본 연구 및 PoC:
  https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc

---

⚖️ 법적 및 윤리적 고지

이 프로젝트는 인식을 높이고 개발자들이 RCE 취약점의 심각성을 이해하도록 돕기 위한 것입니다.

저자는 이 코드의 오용에 대해 책임을 지지 않습니다.