기술적 근본 원인

이 취약점은 Flight 프로토콜 파서 내부의 안전하지 않은 역직렬화(CWE-502) 에서 비롯됩니다. "가짜" 청크 구조를 포함하는 조작된 multipart 페이로드를 주입함으로써 공격자는 다음을 수행할 수 있습니다.

1. 프로토타입 오염: promise 유사 객체의 .then 속성을 덮어씁니다.
2. 가젯 체인 트리거: 서버가 내부 가젯 체인($B blob 참조)을 탐색하도록 강제합니다.
3. 코드 실행: Function() 생성자에 도달하여 임의의 JavaScript(예: child_process.execSync)를 컴파일하고 실행합니다.

🚀 시작하기

사전 요구 사항

• Docker 및 Docker Compose
• Git

설치 및 배포

1. 저장소를 클론합니다:

   root@kitploit:~

   git clone https://github.com/trax69/cve-2025-55182-poc.git
   cd cve-2025-55182-poc
   

2. 실험실을 빌드하고 시작합니다:

   root@kitploit:~

   docker-compose up -d --build
   

   컨테이너가 완전히 초기화될 때까지 기다립니다. Next.js 컨테이너는 첫 번째 빌드를 완료하는 데 몇 분이 걸릴 수 있습니다.

💥 익스플로잇

익스플로잇 로직은 exploit/exploit.py에 캡슐화되어 있습니다. 호스트 머신(Python이 설치된 경우)에서 직접 또는 attacker 컨테이너에서 공격을 실행할 수 있습니다.

방법 A: 공격자 컨테이너에서 실행 (권장)

1. 공격자 셸에 접근합니다:

   root@kitploit:~

   docker-compose exec attacker bash
   

2. 요구 사항을 설치합니다:

   root@kitploit:~

   pip install -r requirements.txt
   

3. 대상 A 공격 (바닐라 React):

   root@kitploit:~

   python exploit.py http://vanilla-target:4000/rsc vanilla
   

4. 대상 B 공격 (Next.js):

   root@kitploit:~

   python exploit.py http://nextjs-target:3000/ nextjs
   

검증

익스플로잇은 대상 서버의 /tmp 디렉토리에 pwned.txt라는 파일을 생성하려고 시도합니다. 성공 여부를 확인하려면:

성공하면 파일 목록이 표시됩니다. 익스플로잇이 실패하면 파일이 존재하지 않습니다.

🛡️ 완화 방법

프로덕션 환경에서 이 취약점을 해결하려면:

1. React: react-server-dom-webpack(및 관련 패키지)을 버전 19.0.1, 19.1.2 또는 19.2.1+ 로 업그레이드합니다.
2. Next.js: v15.0.5+ 또는 v16.0.7+ 로 업그레이드합니다.
3. WAF: multipart 본문에서 "$1:__proto__"와 같은 시그니처 또는 "$@"의 비정상적인 사용을 포함하는 요청을 차단하는 규칙을 구현합니다.

📚 참고 자료

• (https://nvd.nist.gov/vuln/detail/CVE-2025-55182)
• (https://github.com/msanft/CVE-2025-55182)

대학 프로젝트 - 보안 감사 및 취약점 연구