【漏洞预警】Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)
【漏洞预警】Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)
原创 聚焦网络安全情报 安全聚 2025-03-11 22:12
高
危
公
告
近日，安全聚实验室监测到 Apache Tomcat 存在远程代码执行漏洞 ，编号为：CVE-2025-24813，CVSS:8.7 当应用程序启用Servlet写入功能，并使用Tomcat的默认会话持久化机制和存储位置，同时依赖库存在反序列化利用链时，未授权的攻击者可能会执行恶意代码，从而获取服务器权限。
01 漏洞描述
VULNERABILITY DESC.
Apache Tomcat是一个开源的Java Servlet容器和Web服务器，广泛用于运行Java应用程序。它实现了Java EE（现称为Jakarta EE）中的Servlet和JavaServer Pages（JSP）规范，提供了一个可靠的环境来开发和部署基于Java的Web应用。Tomcat具有高性能、可扩展性和易于配置的特点，支持多种操作系统，并与多种Java框架兼容。作为一个成熟的项目，Apache Tomcat拥有活跃的社区支持，提供了丰富的文档和资源，使其成为开发者和企业构建Java Web应用的首选解决方案。
利用条件
如果满足以下所有条件，则恶意用户能够查看安全敏感文件和/或向这些文件注入内容：
- 为默认 servlet 启用写入（默认禁用）
支持部分 PUT（默认启用）
安全敏感上传的目标 URL，该 URL 是公共上传的目标 URL 的子目录
- 攻击者知道正在上传
的安全敏感文件的名称 – 安全敏感文件也通过部分 PUT 上传
如果满足以下所有条件，则恶意用户能够执行远程代码执行：
为默认 servlet 启用写入作（默认禁用）
-
支持部分 PUT（默认启用）
-
应用程序使用具有默认存储位置的
Tomcat 基于文件的会话持久性 – 应用程序包含一个可能在反序列化攻击中被利用的库
02 影响范围
IMPACT SCOPE
11.0.0-M1 <= Apache Tomcat <= 11.0.2
10.1.0-M1 <= Apache Tomcat <= 10.1.34
9.0.0.M1 <= Apache Tomcat <= 9.0.98
03 安全措施
SECURITY MEASURES
目前厂商已发布可更新版本，建议用户尽快更新至 Apache Tomcat 的修复版本或更高的版本：
Apache Tomcat >= 11.0.2
Apache Tomcat >= 10.1.34
Apache Tomcat >= 9.0.98
下载链接：
https://tomcat.apache.org/
04 参考链接
REFERENCE LINK
- https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq
05 技术支持
TECHNICAL SUPPORT
长按识别二维码，关注 “安全聚”
公众号！如有任何问题或需要帮助，随时联系我们的技术支持团队。
联系我们
微信号：SecGat
关注安全聚，获取更多精彩文章。
END
HISTORY
/
往期推荐
【已复现】Windows TCP/IP 远程执行代码漏洞（CVE-2024-38063）
【漏洞预警 | 已复现】Apache OFBiz远程代码执行漏洞（CVE-2024-38856）