Apache Tomcat 中的 CVE-2025-24813 漏洞导致服务器遭受 RCE 和数据泄露

Apache Tomcat中发现了一个严重漏洞CVE-2025-24813，可能允许攻击者执行远程代码、泄露敏感信息或破坏数据。Apache 软件基金会已发布紧急安全公告，敦促受影响版本的用户立即更新。 

Apache Tomcat 是一款广泛使用的开源 Web 服务器和 servlet 容器，由于其在处理部分 PUT 请求时存在缺陷，因此容易受到此漏洞的影响。根据该通报，部分 PUT 的原始实现“根据用户提供的文件名和路径使用临时文件，并将路径分隔符替换为‘.’”。这个看似微不足道的细节在特定条件下会造成重大安全漏洞。

该咨询报告概述了两种主要的利用场景：

信息泄露与腐败：

如果为默认 servlet 启用了写入功能（默认情况下禁用），部分 PUT 支持处于活动状态（默认情况下启用），敏感上传的目标 URL 是公共上传 URL 的子目录，并且攻击者知道通过部分 PUT 上传的敏感文件名，他们可以“查看安全敏感文件和/或向这些文件中注入内容”。

远程代码执行（RCE）：

如果为默认 servlet 启用了写入功能，则部分 PUT 处于活动状态，应用程序使用 Tomcat 基于文件的会话持久性和默认存储，并且应用程序包含易受反序列化攻击的库，“恶意用户能够执行远程代码执行”。

这些情况凸显了漏洞的严重性，因为它可能导致未经授权访问敏感数据并彻底破坏服务器。

CVE -2025-24813漏洞影响以下 Apache Tomcat 版本：

Apache Tomcat 11.0.0-M1 至 11.0.2Apache Tomcat 10.1.0-M1 至 10.1.34Apache Tomcat 9.0.0.M1 至 9.0.98

Apache 软件基金会强烈建议这些版本的用户采取以下缓解措施之一：

升级到 Apache Tomcat 11.0.3 或更高版本。升级到 Apache Tomcat 10.1.35 或更高版本。升级到 Apache Tomcat 9.0.99 或更高版本。

数据泄露和远程代码执行的可能性使该漏洞成为重大威胁。受影响版本中默认启用部分 PUT 功能这一事实进一步放大了风险。如果不迅速修补，许多生产服务器都可能存在漏洞。

运行受影响的 Apache Tomcat 版本的服务器管理员必须立即采取措施缓解此漏洞。升级到修补版本是防范潜在攻击的最有效方法。

原文始发于微信公众号（TtTeam）：Apache Tomcat 中的 CVE-2025-24813 漏洞导致服务器遭受 RCE 和数据泄露