【已复现】Apache Tomcat存在远程代码执行漏洞（CVE-2025-24813）

安恒研究院 安恒信息CERT 2025-03-11 18:40

漏洞概述
漏洞名称	Apache Tomcat存在远程代码执行漏洞（CVE-2025-24813）
安恒CERT评级	2级	CVSS3.1评分	8.1（安恒自评）
CVE编号	CVE-2025-24813	CNVD编号	未分配
CNNVD编号	未分配	安恒CERT编号	DM-202501-004785
POC情况	已发现	EXP情况	未发现
在野利用	未发现	研究情况	已复现
危害描述	当Tomcat开启Put（Tomcat conf/web.xml配置文件中初始化参数readonly配置为false）、配置了session文件形式保存且目标环境存在相关可利用依赖条件的情况下攻击者可以通过上传恶意session文件实现远程代码执行。

该产
品主要使用客户行业分布广泛，漏洞危害性高，
建议客户尽快做好自查及防护。

安恒研究院卫兵实验室已复现此漏洞。

漏洞信息

漏洞描述

漏洞危害等级：
高危

漏洞类型：
远程代码执行

影响范围

影响版本：
9.0.0.M1 <= Apache Tomcat <= 9.0.98

10.1.0-M1 <= Apache Tomcat <= 10.1.34

11.0.0-M1 <= Apache Tomcat <= 11.0.2

安全版本：
Apache Tomcat >= 9.0.99

Apache Tomcat >= 10.1.35

Apache Tomcat >= 11.0.3

CVSS向量

访问途径（AV）：网络

攻击复杂度（AC）：高

所需权限（PR）：无需任何权限

用户交互（UI）：不需要用户交互

影响范围 （S）：
不变

机密性影响 （C）：高

完整性影响 （l）：高

可用性影响 （A）：高

修复方案

官方修复方案：

官方已发布修复方案，受影响的用户建议及时更新至对应安全版本。

下载链接：

https://tomcat.apache.org/security-9.html

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security-11.html

在Tomcat程序根目录/conf/web.xml中将readonly false配置代码注释或移除（默认该配置为true，不受影响）

在Tomcat程序根目录/conf/context.xml中将session持久化保存路径设置为特定安全路径。

产品能力覆盖

产品名称	覆盖补丁包
AiLPHA大数据平台	GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.250311.1及以上版本
APT攻击预警平台	GoldenEyeIPv6_XXXXX_strategy2.0.XXXXX.250311.1及以上版本
明鉴漏洞扫描系统	已支持
WAF	已支持
玄武盾	已支持

参考资料

https://nvd.nist.gov/vuln/detail/CVE-2025-24813

https://www.openwall.com/lists/oss-security/2025/03/10/5

技术支持

如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。