Apache Tomcat 缺陷允许绕过身份验证和 DoS 攻击

Apache Software Foundation 发布了关键的安全更新，以解决 Apache Tomcat（世界上使用最广泛的开源 Java servlet 容器之一）中新发现的四个漏洞。

这些影响 Tomcat 版本 9.0、10.1 和 11.0 的缺陷使系统面临拒绝服务 （DoS） 攻击、权限提升、安装程序滥用和身份验证绕过，促使用户紧急呼吁立即更新其部署。

漏洞摘要

详细分析

CVE-2025-48976：通过多部分标头重载的 DoS

此漏洞源于 Apache Commons FileUpload 之前对分段标头大小的硬编码 10kB 限制。

攻击者可以通过发送具有大量分段标头的请求、消耗过多内存并触发拒绝服务攻击来利用此漏洞。

此修复引入了可配置的 maxPartHeaderSize 属性，默认为 512 字节，以限制内存使用并防止利用。

CVE-2025-48988：分段上传滥用启用 DoS

Tomcat 早期对分段上传的处理不区分请求参数和分段，允许攻击者使用分段请求淹没服务器并耗尽内存资源。此更新现在允许管理员设置 maxPartCount（默认值：10 个分段），从而显著降低因分段上传滥用而遭受 DoS 攻击的风险。

CVE-2025-49124：Windows 安装程序旁加载风险

在 Windows 上，Tomcat 安装程序在未指定完整路径的情况下调用 icacls.exe，如果系统路径中存在同名的恶意可执行文件，则为旁加载攻击打开了大门。

虽然风险评级较低，但在安装程序可能被篡改的环境中，可能会利用此问题。此修复可确保安装程序现在使用完全限定的路径进行icacls.exe。

CVE-2025-49125：Pre/PostResources 中的安全约束绕过

此中等严重性缺陷会影响使用挂载在 Web 应用程序根目录外部的 PreResources 或 PostResources 的部署。

攻击者可以通过不受预期安全约束保护的备用路径访问这些资源，从而可能绕过身份验证或授权检查。此补丁更正了资源路径处理，以确保所有路径都受到同等保护。

强烈建议管理员升级到 Apache Tomcat 11.0.8、10.1.42 或 9.0.106，具体取决于其部署版本，以解决所有四个漏洞。

原文始发于微信公众号（网安百色）：Apache Tomcat 缺陷允许绕过身份验证和 DoS 攻击