通告编号:NS-2025-0012
| TAG： |
Tomcat、远程代码执行、CVE-2025-24813 |
| 漏洞危害： |
攻击者利用此漏洞，可实现远程代码执行。 |
| 版本： | 1.0 |
漏洞概述
近日，绿盟科技CERT监测到Apache发布安全公告，修复了Apache Tomcat远程代码执行漏洞（CVE-2025-24813）；当应用程序启用了servlet的写入功能（默认关闭）、使用了Tomcat文件会话持久机制和默认存储位置且包含反序列化利用库时，未经身份验证的攻击者可执行任意代码获取服务器权限。此外，当上传文件目标URL为公共目标URL的子目录，且攻击者知悉上传文件名称时，未经身份验证的攻击者可获取目标文件信息或添加文件内容。请相关用户尽快采取措施进行防护。
Apache Tomcat是一个开源的Java应用服务器，由 Apache 软件基金会开发和维护，广泛用于各种Web应用开发与部署场景中。
绿盟科技已成功复现此漏洞：
参考链接：
https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq
SEE MORE →
2影响范围
受影响版本
-
11.0.0-M1 <= Apache Tomcat <= 11.0.2
-
10.1.0-M1 <= Apache Tomcat <= 10.1.34
-
9.0.0.M1 <= Apache Tomcat <= 9.0.98
不受影响版本
-
Apache Tomcat >= 11.0.3
-
Apache Tomcat >= 10.1.35
-
Apache Tomcat >= 9.0.99
3漏洞检测
3.1 人工检测
一：从Apache Tomcat官网下载的安装包名称中会包含Tomcat的版本号，如果用户解压后没有更改Tomcat的目录名称，可以通过查看文件夹名称来确定当前使用的版本。
如果解压后的Tomcat目录名称被修改过，或者通过Windows Service Installer方式安装，可使用软件自带的version模块来获取当前的版本。也可以进入Tomcat安装目录的bin目录，运行version.bat（Linux运行version.sh）后，可查看当前的软件版本号。
二、如果该版本在受影响的范围内，可检查confweb.xml文件中是否开启了PUT方法；打开web.xml文件，看org.apache.catalina.servlets.DefaultServlet处readonly是否设置成了false。
4漏洞防护
4.1 官方升级
目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护，下载链接：
https://tomcat.apache.org/download-11.cgi
https://tomcat.apache.org/download-10.cgi
https://tomcat.apache.org/download-90.cgi
4.2 临时防护措施
若相关用户暂时无法进行升级操作，也可使用下列措施进行临时缓解：
1、在不影响业务的前提下，相关用户可将conf/web.xml文件中的readonly参数设置为true或进行注释。
2、禁用PUT方法并重启Tomcat服务使配置生效。
3、将org.apache.catalina.session.PersistentManager设置为false；若需启用文件会话持久化，可配置context.xml修改默认的会话存储位置。
END
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
原文始发于微信公众号（绿盟科技CERT）：【已复现】Apache Tomcat远程代码执行漏洞（CVE-2025-24813）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论