React2Shell (CVE-2025-55182)

📖 Обзор

В этом репозитории документируются концепции безопасности, изученные в комнате TryHackMe, связанные с CVE-2025-55182 — критической уязвимостью, затрагивающей:

• React Server Components (RSC)
• Next.js и фреймворки на основе RSC
• Пакеты:
  • react-server-dom-webpack
  • react-server-dom-parcel
  • react-server-dom-turbopack

Уязвимость позволяет:

Удаленное выполнение кода без аутентификации с помощью единственного манипулированного HTTP-запроса.

Данный материал предназначен исключительно для образовательных и защитных целей,
не содержит ответов, флагов или полного прохождения платформы.

🏗️ Затрагиваемая архитектура

Упрощенный поток рендеринга RSC

[ Браузер ]
       │
       ▼
[ Запрос React Flight ]
       │
       ▼
[ Next.js / RSC на сервере ]
       │
       ▼
[ Среда выполнения Node.js ]
       │
       ▼
[ Операционная система ]

React Server Components, представленные в React 19, позволяют:

• Рендеринг компонентов на сервере
• Уменьшение JavaScript на клиенте
• Улучшенную производительность и масштабируемость

🧠 Протокол React Flight

Отвечает за:

• Сериализацию данных с сервера
• Десериализацию запросов клиента
• Выполнение Server Actions

Соответствующие маркеры

🚨 CVE-2025-55182 — Коренная причина

Уязвимый концептуальный фрагмент:

moduleExports[metadata[2]]

Этот доступ в JavaScript:

• обходит цепочку прототипов
• может достичь конструктора Function
• позволяет произвольное выполнение кода

Цепочка воздействия

Небезопасная десериализация
        ↓
Доступ к цепочке прототипов
        ↓
Вызов Function()
        ↓
Удаленное выполнение кода (RCE)

Результат:

Полная компрометация среды выполнения.

🔗 Концептуальный поток эксплуатации (высокий уровень)

⚠️ Без шагов лаборатории — только технический анализ.

Манипулированный сериализованный пейлоад
            ↓
Обработка React Flight
            ↓
Обход цепочки прототипов
            ↓
Динамическое создание функции JavaScript
            ↓
Выполнение кода в Node.js

Возможные последствия:

• чтение конфиденциальных файлов
• доступ к переменным окружения
• выполнение системных команд
• боковое перемещение в облачных средах

🧪 Образовательные контекстные проверки

В авторизованных тестовых средах начальные подтверждения могут включать:

id        # пользователь процесса
uname -a  # информация о системе
pwd       # текущий каталог
ls -la    # локальные файлы
env       # переменные окружения

Эти команды служат только для:

подтверждения наличия удаленного выполнения,
не представляют собой полную процедуру комнаты.

🌐 Затрагиваемые версии

Уязвимые

React

• 19.0.0
• 19.1.0
• 19.1.1
• 19.2.0

Next.js

• ≥ 14.3.0-canary.77
• Серии 15.x и 16.x до исправления

Исправленные

Обновить до:

• 19.0.1
• 19.1.2
• 19.2.1

🛡️ Обнаружение и мониторинг

Сетевые индикаторы

Возможные признаки эксплуатации:

• необычные POST запросы multipart/form-data
• специфические заголовки React Flight
• сериализованные структуры с доступом к цепочке прототипов

Эти паттерны:

редки в легитимном трафике,
являясь сильными индикаторами атаки.

Безопасность на конечных точках и в CI/CD

Лучшие защитные практики:

• аудит зависимостей react-server-dom-*
• идентификация уязвимых версий
• мониторинг в пайплайнах сборки

Раннее обнаружение значительно снижает риск в production.

📉 Влияние на безопасность

CVE-2025-55182 критичен, потому что:

• не требует аутентификации
• обладает высокой надежностью эксплуатации
• затрагивает широко используемые технологии

Демонстрируя, что:

тонкие ошибки десериализации могут привести к полному RCE.

📚 Цели обучения

Комната делает акцент на:

• внутренней архитектуре React Server Components
• реальных цепочках удаленного выполнения кода
• стратегиях обнаружения и смягчения
• взаимосвязи между современным фронтендом и безопасностью бэкенда

⚠️ Этичное использование

Контент предназначен для:

• образования в области кибербезопасности
• ответственного исследования
• укрепления защиты

Эксплуатация систем без разрешения незаконна.

🏁 Заключение

React2Shell (CVE-2025-55182) показывает, что:

современные абстракции фреймворков могут скрывать
критические границы безопасности.

Понимание этих слоев необходимо для:

• пентестеров
• защитников (SOC / Blue Team)
• инженеров безопасного ПО