Next.js React2Shell (CVE-2025-55182) Ferramenta de Exploração

Uma ferramenta de prova de conceito para demonstrar a vulnerabilidade crítica React2Shell (CVE-2025-55182 / CVE-2025-66478) apenas em ambientes de teste autorizados e locais.

⚠️ AVISO CRÍTICO: EXPLORAÇÃO ATIVA

Esta vulnerabilidade (CVSS 10.0) está sendo ativamente explorada por atores de ameaças sofisticados. A Inteligência de Ameaças da Amazon relata que vários grupos patrocinados por estados da China, incluindo Earth Lamia e Jackpot Panda, começaram a armamentizar explorações públicas em horas após a divulgação. A Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA adicionou-a ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV).

• USO APENAS LEGAL: Use exclusivamente contra sistemas que você possui ou tenha autorização explícita por escrito para testar.
• CORREÇÃO IMEDIATA NECESSÁRIA: Se vulnerável, você deve atualizar imediatamente. A correção é a única mitigação definitiva.
• SEM GARANTIA: Esta ferramenta é apenas para fins educacionais e de avaliação de segurança autorizada.

📄 Visão Geral da Vulnerabilidade

CVE-2025-55182 (React2Shell) é uma vulnerabilidade crítica de Execução Remota de Código (RCE) sem autenticação prévia no protocolo "Flight" dos Componentes de Servidor React (RSC). Um identificador separado, CVE-2025-66478, foi atribuído para Next.js, mas posteriormente rejeitado como duplicata do CVE-2025-55182, pois ambos compartilham a mesma causa raiz.

• Causa Raiz: Desserialização insegura no pacote do servidor React. A lógica de decodificação do protocolo Flight falha em validar adequadamente as cargas úteis controladas pelo atacante, permitindo poluição de protótipo e influência sobre caminhos de execução do servidor.
• Vetor de Ataque: Não autenticado. Atacantes podem acionar a exploração enviando uma única requisição HTTP POST especialmente criada para um endpoint do servidor.
• Confiabilidade: Testes mostraram que a exploração tem quase 100% de confiabilidade contra configurações padrão vulneráveis.
• Escopo: Uma aplicação é vulnerável se suporta Componentes de Servidor React (RSC), mesmo que não implemente explicitamente Funções de Servidor.

📖 Uso

Sintaxe Básica

chmod +x pwn-nextjs.sh
./pwn-nextjs.sh [TARGET_URL] [COMMAND]

Exemplos

# Alvo específico
./pwn-nextjs.sh https://vulnerable-app.example.com "whoami"
root

🎯 Software Afetado & Versões Corrigidas

A vulnerabilidade se origina em pacotes React específicos, afetando qualquer framework que os empacote.

Não Afetados: Next.js 13.x, versões estáveis do Next.js 14.x, aplicações Pages Router e o Edge Runtime não são afetados.

🔬 Detalhes Técnicos & Exploração

A Falha no Protocolo Flight

O protocolo RSC Flight serializa dados para comunicação cliente-servidor. A vulnerabilidade reside na lógica de desserialização no servidor, que expande propriedades de objetos da carga útil recebida sem validação adequada. Isso permite que um atacante injete chaves maliciosas (como __proto__ ou constructor) na requisição, levando à poluição de protótipo.

Uma vez que a cadeia de protótipos é poluída, o servidor segue caminhos de execução influenciados pelo atacante. Isso pode ser encadeado para executar código JavaScript arbitrário com privilégios de servidor, resultando em Execução Remota de Código (RCE) completa.

Atividade Pós-Exploração

Pesquisadores de segurança observaram explorações bem-sucedidas levando a:

• Coleta de Credenciais: Tentativas de identificar e exfiltrar credenciais de nuvem (por exemplo, de .aws/credentials).
• Mineração de Criptomoedas: Implantação de mineradores como XMRig.
• Implantação de Malware: Instalação de frameworks como o Sliver C2.

🛡️ Mitigação & Resposta

1. Correção Imediata (Solução Primária)

A correção é obrigatória e a única maneira de eliminar completamente a vulnerabilidade. Não há configuração para desabilitar o caminho de código vulnerável.

# Para usuários do Next.js, atualize para a versão corrigida mais recente em sua linha de versão.
# Exemplo: Se você está no Next.js 15.5.x:
npm install [email protected]

# Também certifique-se de atualizar as dependências React:
npm install react@latest react-dom@latest

Verifique se seus arquivos package-lock.json ou yarn.lock refletem as versões corrigidas dos pacotes react-server-dom-* (19.0.1, 19.1.2 ou 19.2.1).

2. Proteções Interinas (Regras WAF)

Enquanto corrige, implante regras de Firewall de Aplicação Web (WAF) para bloquear tentativas de exploração:

• AWS WAF: O grupo de regras gerenciadas AWSManagedRulesKnownBadInputsRuleSet (v1.24+) inclui regras para este CVE.
• Google Cloud Armor: Uma regra pré-configurada cve-canary está disponível.
• Palo Alto Networks: Assinaturas estão disponíveis para produtos como Snort.

Nota: Regras WAF são uma mitigação temporária e incompleta. Elas não substituem a necessidade de corrigir.

3. Indicadores de Comprometimento (IOCs)

Revise logs para esses sinais de tentativas de exploração:

• Rede: Requisições POST com cabeçalhos next-action ou rsc-action-id. Corpos de requisição contendo padrões como $@ ou "status":"resolved_model".
• Host: Execução inesperada de comandos (whoami, id, uname), leituras de /etc/passwd ou gravações de arquivos em /tmp/ (por exemplo, pwned.txt) por processos Node.js.

⚖️ Legal, Ética & Divulgação Responsável

Esta ferramenta demonstra uma vulnerabilidade com pontuação CVSS de 10.0 (Severidade Máxima) que está sob exploração ativa patrocinada por estados.

• Autorização é Necessária: Os testes devem ser confinados a ambientes que você possui e controla (por exemplo, localhost, laboratórios isolados). Testes não autorizados são ilegais.
• Divulgação Responsável: Se você descobrir um sistema de terceiros vulnerável, não o explore. Documente suas descobertas e divulgue-as de forma responsável ao proprietário do sistema.
• Propósito: Esta ferramenta destina-se à educação, testes de penetração autorizados e ajudar profissionais de segurança a entender a ameaça para priorizar a correção.

🔗 Referências & Créditos

• Aviso Oficial do Next.js (CVE-2025-66478)
• Descoberta: Lachlan Davidson, que descobriu e divulgou a vulnerabilidade de forma responsável.
• Inteligência de Ameaças: AWS, Wiz e outras equipes rastreando exploração ativa no mundo real.

Lembre-se: Esta ferramenta demonstra por que corrigir é urgente. Use este conhecimento para melhorar a segurança e defender sistemas, não para comprometê-los. Certifique-se de que todas as suas dependências estejam atualizadas para as versões corrigidas listadas acima.