Kit de Avaliação de RCE Next.js

Um kit em Python para validar e investigar o CVE-2025-55182, também conhecido como React2Shell, em ambientes autorizados. A vulnerabilidade afeta os React Server Components e pode expor aplicações construídas com frameworks como Next.js a execução remota de código não autenticada. O kit combina coleta de alvos, validação em massa, um shell de teste interativo, enumeração de hosts e utilitários opcionais de pós-validação.

Vulnerability

• CVE: CVE-2025-55182
• Name: React2Shell
• Class: Execução remota de código não autenticada
• Affected technology: React Server Components e frameworks dependentes, incluindo configurações afetadas do Next.js
• Toolkit validation: hosts_scanner.py executa apenas um marcador fixo echo VULN_TEST durante a detecção em massa

Este repositório é uma ferramenta de avaliação, não um substituto para verificar o comunicado oficial e aplicar as correções do fornecedor.

Capabilities

Ferramenta	Finalidade	Saída ou efeito
shodan_parser.py	Abre pesquisas autenticadas do Shodan a partir de uma lista de consultas e coleta origens HTTP(S) normalizadas.	Adiciona hosts únicos a files/targets.txt.
hosts_scanner.py	Verifica simultaneamente uma lista de alvos com um comando fixo VULN_TEST.	Escreve alvos confirmados em files/vulnerable.txt e alvos malsucedidos em files/trash.txt.
exploit.py	Revalida um alvo e fornece uma sessão de comandos interativa.	Imprime a saída do comando remoto no terminal.
universal_scanner.py	Coleta informações do sistema, contêiner, rede, sistema de arquivos, processos, exposição de credenciais e risco de privilégio.	Salva descobertas detalhadas em scan_results.json.
infrastructure/universal_download.py	Transfere um arquivo remoto através do canal de comando em fragmentos Base64 retomáveis.	Cria ou retoma um arquivo local e verifica seu tamanho.
infrastructure/mongo_proxy.py	Usa o host validado como caminho de rede para inventário do MongoDB e amostragem limitada.	Lista bancos de dados, coleções, contagens e uma pequena amostra.
infrastructure/mongo_dump.py	Exporta um banco de dados MongoDB ou todos os bancos não sistêmicos com um limite por coleção.	Cria um arquivo JSON em /tmp no host avaliado.
infrastructure/aws_dump.py	Inventaria recursos AWS disponíveis para uma função de tarefa ECS.	Cria um arquivo JSON em /tmp; pode incluir valores sensíveis.
infrastructure/install_ssh_key.py	Adiciona uma chave pública ao authorized_keys do usuário remoto atual.	Modifica a configuração SSH remota e estabelece persistência.
infrastructure/trace_cleaner.py	Remove artefatos do kit e tenta limpar históricos, caches e logs.	Modifica destrutivamente arquivos remotos; use apenas durante um exercício de limpeza aprovado.

As ferramentas dependentes de RCE esperam um alvo com ambiente semelhante ao Linux com utilitários comuns de shell. Alguns auxiliares de infraestrutura adicionalmente esperam que Node.js e os pacotes npm relevantes já estejam disponíveis no host avaliado.

Requirements

• Python 3.10 ou mais recente
• Acesso de rede ao alvo autorizado
• Chromium instalado via Playwright para shodan_parser.py
• Uma conta Shodan para coleta de alvos

Installation

python -m venv .venv

Ative o ambiente:

# Linux or macOS
source .venv/bin/activate

# Windows PowerShell
.\.venv\Scripts\Activate.ps1

Instale as dependências:

python -m pip install -r requirements.txt
python -m playwright install chromium

Para coleta Shodan, copie .env.example para .env e defina LOGIN e PASSWORD. Nunca faça commit do .env.

Typical Workflow

1. Coloque uma consulta Shodan por linha em files/queries.txt, ou coloque alvos autorizados diretamente em files/targets.txt.
2. Opcionalmente, colete alvos com python shodan_parser.py.
3. Execute a verificação em massa com marcador fixo:

python hosts_scanner.py --file files/targets.txt --concurrency 50 --timeout 30

4. Revise files/vulnerable.txt e verifique manualmente a propriedade e o escopo antes de executar qualquer utilitário de execução de comandos ou infraestrutura.

Para redefinir a lista de ignorados do scanner:

python hosts_scanner.py --file files/targets.txt --clear-trash

Single-Target Tools

python exploit.py https://target.example
python universal_scanner.py https://target.example

Utilitários de infraestrutura:

python infrastructure/universal_download.py <TARGET> <REMOTE_PATH> [LOCAL_FILE] [CHUNK_SIZE]
python infrastructure/mongo_proxy.py <TARGET> <MONGODB_URI>
python infrastructure/mongo_dump.py <TARGET> <MONGODB_URI> <DATABASE|ALL> [OUTPUT_FILE] [LIMIT]
python infrastructure/aws_dump.py <TARGET> [OUTPUT_FILE]
python infrastructure/install_ssh_key.py <TARGET> [PUBLIC_KEY_PATH]
python infrastructure/trace_cleaner.py <TARGET>

Execute cada script sem argumentos para ver sua ajuda completa de linha de comando.

Limitations

• A verificação do certificado TLS está desabilitada nas chamadas atuais do cliente HTTP.
• A detecção depende dos formatos de resposta usados pelo comportamento afetado do Next.js.
• Comandos remotos assumem ferramentas como bash, base64, dd e timeout.
• Os resultados de nuvem e banco de dados são limitados pelas permissões da identidade remota.
• O kit não fornece remediação nem prova que um alvo está dentro do escopo.