漏洞风险提示 | Apache Tomcat 远程代码执行漏洞（CVE-2025-24813）-中国经理人

首页 / 科技 / 正文

漏洞风险提示 | Apache Tomcat 远程代码执行漏洞（CVE-2025-24813）

Time：2025年04月21日 Read：186 评论：0

漏洞描述

Apache Tomcat是美国阿帕奇（Apache）基金会的一款轻量级Web应用服务器，partial PUT是其中用于文件分块上传的功能。

在受影响版本中，由于针对partial PUT的临时文件路径依赖于用户输入，通过将/替换为.的实现存在绕过风险。

当启用了默认 servlet 的写入功能（将readonly 初始化参数设置为非默认值 false），以及支持partial PUT（默认支持）时，结合Tomcat的session文件存储功能，可以当classpath下面存在可利用的第三方库时可实现反序列化RCE。

影响版本

11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.2

10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.34

9.0.0.M1 ≤ Apache Tomcat ≤ 9.0.98

漏洞信息

通过PUT请求方式上传包含恶意序列化数据的文件时，文件路径中的分隔符“/”会被转换为“.”，导致恶意构造的file.Name可绕过目录限制，写入非预期位置。

结合Tomcat默认文件会话存储机制，可以通过设置JSESSIONID=.fileName来触发依赖库的反序列化漏洞。

修复方案

Apache Tomcat 11.0.3 或更高版本；

Apache Tomcat 10.1.35 或更高版本；

Apache Tomcat 9.0.99 或更高版本。

恶意请求已被靖云甲检测拦截。

参考信息

https://www.oscs1024.com/hd/MPS-2yw6-ghal

https://oscs1024.com/hd/MPS-2yw6-ghal

https://www.openwall.com/lists/oss-security/2025/03/10/5

https://github.com/apache/tomcat/commit/0a668e0c27f2b7ca0cc7c6eea32253b9b5ecb29c

http://nvd.nist.gov/vuln/detail/CVE-2025-24813

标签：软件