【复现】Tomcat远程代码执行（CVE-2025-24813）漏洞

宣布时间 2025-03-11

Apache Tomcat是知名的开源Java Servlet容器和Web服务器，支持Java Servlet、JavaServer Pages、基于Java的Web应用法式，广泛用于企业级Web应用 。


2025年3月11日，Tomcat官方宣布了一个宁静通告，修复一个特定条件的远程代码执行漏洞（CVE-2025-24813） 。该漏洞可导致非默认配置的Tomcat被攻击者利用，建议受影响的用户尽快修复此漏洞 。

影响版本


version < Apache Tomcat 11.0.3
version < Apache Tomcat 10.1.35

version < Apache Tomcat 9.0.99


漏洞成因


该漏洞发生的原因是默认servlet在启用写入的情况下，攻击者可以在特定目录下写入任意文件名的文件，结合Tomcat的session文件存储功效，可以实现反序列化RCE 。该漏洞利用需要满足以下几个条件：



（1）默认servlet开启写入操作 。
（2）使用基于文件存储的session，且存储路径默认 。

（3）存在反序列化利用链的jar包 。


漏洞复现


图片1.png


修复建议


Apache官方已宣布宁静通告并宣布了修复版本，请尽快下载宁静版本修复漏洞：


? Apache Tomcat 11.0.3 or later
? Apache Tomcat 10.1.35 or later

? Apache Tomcat 9.0.99 or later


时间线


2025年3月11日 厂商宣布宁静通告
2025年3月11日 东森平台ADLab复现漏洞

参考链接：


[1]https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq

[2]https://github.com/apache/tomcat/commit/f6c01d6577cf9a1e06792be47e623d36acc3b5dc