Docker Lab & Detection Scanner & PoC Validation: React2Shell (CVE-2025-55182)

Дисклеймер: Этот репозиторий и его PoC-артефакты созданы строго в образовательных, исследовательских целях и для демонстрации защитных механизмов в изолированной лабораторной среде. Несанкционированное тестирование внешних систем строго запрещено.

1. Границы проекта и авторизации

Назначение проекта

Репозиторий предоставляет воспроизводимую среду Docker с двумя контейнерами, предназначенную для анализа, эксплуатации и проверки средств смягчения последствий уязвимости десериализации Flight-протокола React Server Components (RSC) (широко известной как React2Shell / CVE-2025-55182). Лаборатория демонстрирует последствия пост-эксплуатации на необновлённой сборке Next.js и подтверждает эффективность средств защиты на обновлённой сборке.

Целевые объекты

• Допустимые цели:
  • http://127.0.0.1:3001 (контейнер react2shell-vulnerable)
  • http://127.0.0.1:3002 (контейнер react2shell-patched)
• Вне области действия: Любой внешний домен, публичный сетевой интерфейс, операционная система хост-машины или облачная инфраструктура.

Меры безопасности лаборатории

• Сетевая изоляция: Все контейнеры работают в частной мостовой сети Docker с отключённым исходящим доступом в интернет (internal: true).
• Привязка к loopback: Открытые порты строго привязаны к 127.0.0.1 (localhost), что исключает доступность из внешней локальной сети.
• Фиктивные секреты: Для тестирования эксфильтрации используются имитированные учётные данные (DUMMY_SECRET=LAB_VULNERABLE_SECRET_DO_NOT_USE_12345), чтобы исключить риск утечки реальных данных.

2. Настройка среды и инструкции по эксплуатации

Предварительные требования

• Docker Desktop (Engine 24.0.0+, Compose v2.20.0+)
• Python (3.8+ — только стандартная библиотека для базовой автоматизации)
• cURL (встроенный в WSL, Linux или PowerShell)

Установка

Клонируйте репозиторий и проверьте локальное окружение:

git clone https://github.com/PhanHoangKhang/React2Shell.git

Запуск лаборатории

Перейдите в каталог lab/ и инициализируйте оба контейнера с двойной сборкой:

cd lab
docker-compose up -d --build
cd ..

Обнаружение уязвимости

Запустите сканер обнаружения в обеих лабораториях:

1. Сканирование обновлённой лаборатории

python src/react2shell_scanner.py lab/patched

2. Сканирование уязвимой лаборатории

python src/react2shell_scanner.py lab/vulnerable

Остановка лаборатории

cd lab
docker-compose stop
cd ..

Динамическая эксплуатация и проверка (PoC)

Для выполнения тестов проверки эксплуатации и подтверждения артефактов эксфильтрации обратитесь к подробному пошаговому руководству PoC:

👉 Руководство по PoC и проверке уязвимости (poc_reference.md)

3. Зависимости, формат lock-файлов и правила версий

Матрица зависимостей

Выбор lock-файла и источники правил версий

• Выбранный формат lock-файла: NPM package-lock.json (формат v3). Статический сканер в первую очередь анализирует дерево разрешённых зависимостей внутри packages["node_modules/next"] для точного обнаружения.
• Источники правил версий: Определения правил для CVE-2025-55182 взяты из официальных бюллетеней безопасности Next.js, согласно которым все версии Next.js < 15.0.3 (включая сборки 15.0.0-rc) считаются уязвимыми к десериализации Flight-протокола RSC.

Источник PoC и эталонный коммит

• Источник PoC: Основан на публичных исследованиях гаджетов десериализации Flight-чанков React Server Components (RSC).