CVE-2025-55182（React2Shell）Next.js PoC リポジトリの解説

Security
CVE-2025-55182（React2Shell）Next.js PoC リポジトリの解説

CVE-2025-55182（React2Shell）Next.js PoC リポジトリの解説

このリポジトリは「CVE-2025-55182（通称 React2Shell）」と呼ばれる、React Server Components（RSC）と Next.js に影響する深刻なリモートコード実行（RCE）脆弱性の動作確認用PoCを商用形式で提供していることを示します。公開情報の整理、影響範囲、技術的な特徴、緩和策や運用上の注意点を踏まえ、悪用を助長しない形で安全かつ実践的に解説します（※PoCの具体的手順や攻撃シーケンスは含めません）。

https://github.com/aliclub0x00/CVE-2025-55182-POC-NEXTJS

概要

このリポジトリ「CVE-2025-55182-POC-NEXTJS」は、React Server Components（RSC）およびそれを利用するNext.jsアプリケーションに影響を与える重大なリモートコード実行脆弱性（CVE-2025-55182、別名 React2Shell）に対する動作確認（Proof-of-Concept：PoC）を商用形式で提供していることを示しています。公開READMEでは脆弱性の深刻度（CVSS 10.0相当）やPoCの販売案内が明記されています。本記事ではリポジトリ内容の整理、技術的ポイントの解説、運用上の注意（パッチ適用、設定変更、検知体制）を中心に、安全な視点で要約します。

GitHub

リポジトリの統計情報

  • スター数: 31
  • フォーク数: 0
  • ウォッチャー数: 31
  • コミット数: 10
  • ファイル数: 3
  • メインの言語: 未指定

主な特徴

  • 商用（非無料）のPoCであり、購入リンクがREADMEに記載されている。
  • 対象はReact Server ComponentsとNext.js。サーバーサイドの処理を介したRCEを示唆。
  • PoCは「高忠実度かつ信頼できる」と主張されているが、攻撃手順は公開リポジトリでは限定的。
  • ファイル数は少なく、README中心の構成で、付随する画像が含まれる。

技術的なポイント

本脆弱性はサーバー側で動作するReact Server Components（RSC）の実装やNext.jsのサーバー処理に起因する設計上の問題に関係しているとされます。RSCはクライアント側ではなくサーバー側でコンポーネントをレンダリングし、その結果をクライアントに送る設計上、サーバー側の入力処理やテンプレート生成、プロパティのシリアライズ／デシリアライズに脆弱点があると悪用される可能性があります。RCEは任意コード実行を招くため、サーバーの完全な乗っ取りや機密情報の窃取、横展開につながり得ます。
このリポジトリは「PoCを商用提供する」性質上、実際の攻撃コードや実行手順を公開していない一方で、脆弱性の存在と影響範囲を明示しています。防御面ではまず公式ベンダー（React/Next.js）のアナウンスを注視し、該当バージョンの特定と速やかなアップデートが最優先です。次に、サーバーサイドで受け取る入力の厳格なバリデーション、不要なRSC機能や危険なサーバーサイドAPIの無効化、実行権限の分離（最小権限）、ネットワークセグメンテーションを実施してください。またログ・異常検知を強化し、プロセスの異常起動や外部への不審な接続要求を監視することが重要です。商用PoCの存在は攻撃者の興味を引きやすいため、公開情報に基づく脅威モデル再評価と緊急対応計画の実行を推奨します。なお、本記事では悪用手順やエクスプロイトコードに相当する詳細は記載しません。

プロジェクトの構成

主要なファイルとディレクトリ：

  • 1.png: file
  • 3.png: file
  • README.md: file

まとめ

商用PoCを含む注目度の高いRCE脆弱性。速やかな情報収集とパッチ適用、検知体制の強化が必要。

リポジトリ情報：

注意事項：

  • 本記事は情報整理・教育的観点で作成しています。PoCの具体的な攻撃コードや手順をここで提供することは、安全上および倫理上控えています。脆弱性対応は正当な権限のもとで実施し、必要に応じてベンダーやセキュリティ専門家と連携してください。