CVE, Shell и побег из контейнера: испытываем возможности PT Cloud Application Firewall

Вот важная новость с фронта ИИ: IChebotarev 45 минут назад CVE, Shell и побег из контейнера: испытываем возможности PT Cloud Application Firewall 10 мин 2. 4K Блог компании К2Тех Информационная безопасность * Тестирование IT-систем * Веб-разработка * Системное администрирование * Привет, Хабр! Меня зовут Иван Чеботарев, инженер направления защиты приложений в К2 Кибербезопасность.

В статье рассмотрю, как PT Cloud Application Firewall (ucWAF) реагирует на побег из контейнера после RCE с использованием новой CVE-2025-55182. Это уязвимость в Next. js, открывающая Remote Code Execution через механизм Server Actions.

Технические детали

Я собрал тестовый стенд с уязвимым Next. js-и проверил: классический веб-шелл, Reverse Shell и побег из контейнера. js — один из самых популярных фреймворков для фронтенда, а Server Actions включены по умолчанию начиная с 14-й версии.

Если вы деплоите Next. js в контейнерах, эта статья покажет, как выглядит полная цепочка от RCE до выхода на хост, и на каком этапе WAF может ее остановить. Архитектура стендаЧтобы продемонстрировать работу уязвимости и проверить WAF, я развернул в облаке тестовый стенд из трех компонентов: АРМ Атакующего → ucWAF → Next.

АРМ атакующего отправляет вредоносный запрос на ucWAF. Тот пропускает его через правила, перенаправляет на Next. js-сервер, получает ответ и возвращает обратно атакующему.

Отраслевые последствия

js-серверВ качестве цели атаки я выбрал готовый тестовый образ уязвимого приложения с GitHub: github. com/msanft/CVE-2025-55182. Создадим Dockerfile:FROM node:20-alpine WORKDIR /app COPY package*.

/ RUN npm install COPY . EXPOSE 3000 CMD Соберем образ и запустим контейнер:docker build -t cve . docker run --privileged -d -p 3000:3000 --name cve-test cve-testЗаглянем в журнал контейнера, убедимся в правильности его работы и перейдем к следующему компоненту.

docker logs -f cvenginx с мозгамиPT Cloud Application Firewall — это nginx reverse-proxy с модулем от Positive Technology, который реализует функции WAF. ucWAF здесь установлен «в разрыв» так, чтобы весь входящий трафик проходил через него и после анализа и фильтрации перенаправлялся на целевой сервер. js-сервер находится в изолированной подсети и снаружи напрямую недоступен.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.