【复现】Tomcat远程代码执行（CVE-2025-24813）缝隙

颁布功夫 2025-03-11

Apache Tomcat是驰名的开源Java Servlet容器和Web服务器，支持Java Servlet、JavaServer Pages、基于Java的Web利用法式，宽泛用于企业级Web利用。


2025年3月11日，Tomcat官方颁布了一个安全布告，建复一个特定前提的远程代码执行缝隙（CVE-2025-24813）。该缝隙可导致非默认配置的Tomcat被攻击者利用，建议受影响的用户尽快建复此缝隙。

影响版本


version < Apache Tomcat 11.0.3
version < Apache Tomcat 10.1.35

version < Apache Tomcat 9.0.99


缝隙成因


该缝隙产生的原因是默认servlet在启用写入的情况下，攻击者能够在特定目录下写入肆意文件名的文件，结合Tomcat的session文件存储职能，能够实现反序列化RCE。该缝隙利用必要满足以下几个前提：



（1）默认servlet开启写入操作。
（2）使用基于文件存储的session，且存储蹊径默认。

（3）存在反序列化利用链的jar包。


缝隙复现


图片1.png


建复建议


Apache官方已颁布安全公告并颁布了建复版本，请尽快下载安全版本建复缝隙：


? Apache Tomcat 11.0.3 or later
? Apache Tomcat 10.1.35 or later

? Apache Tomcat 9.0.99 or later


功夫线


2025年3月11日 厂商颁布安全布告
2025年3月11日 GA黄金甲ADLab复现缝隙

参考链接：


[1]https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq

[2]https://github.com/apache/tomcat/commit/f6c01d6577cf9a1e06792be47e623d36acc3b5dc