【漏洞预警】Apache Tomcat存在远程代码执行漏洞(CVE-2025-24813)风险提示
发布人: 李雪娇 发布时间: 2025-03-14 作者: 访问次数: 10

【安全通告】

该产品主要使用客户行业分布广泛,漏洞危害性高,建议客户尽快做好自查及防护。

已复现此漏洞。

       

【漏洞信息】

1、Apache Tomcat存在远程代码执行漏洞(CVE-2025-24813)

漏洞类型

远程代码执行

漏洞危害等级

高危

安恒CERT评级

2

CVSS3.1评分

8.1(安恒自评)

CVE编号

CVE-2025-24813

CNVD编号

未分配

CNNVD编号

未分配

安恒CERT编号

DM-202501-004785

POC情况

发现

EXP情况

未发现

在野利用情况

发现

研究情况

已复现

影响版本

9.0.0.M1 <= Apache Tomcat <= 9.0.98

10.1.0-M1 <= Apache Tomcat <= 10.1.34

11.0.0-M1 <= Apache Tomcat <= 11.0.2

安全版本

Apache Tomcat >= 9.0.99

Apache Tomcat >= 10.1.35

Apache Tomcat >= 11.0.3

CVSS向量

访问途径(AV)

网络

攻击复杂度(AC)

所需权限(PR)

无需任何权限

用户交互(UI)

不需要用户交互

影响范围(S)

不变

机密性影响(C)

完整性影响(I)

可用性影响(A)

危害描述

Tomcat开启Put(Tomcat conf/web.xml配置文件中初始化参数readonly配置为false)、配置了session文件形式保存且目标环境存在相关可利用依赖条件的情况下攻击者可以通过上传恶意session文件实现远程代码执行。

 

【修复方案】

官方修复方案:

官方已发布修复方案,受影响的用户建议及时更新至对应安全版本。

下载链接:

https://tomcat.apache.org/security-9.html

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security-11.html

Tomcat程序根目录/conf/web.xml中将readonly false配置代码注释或移除(默认该配置为true,不受影响)

Tomcat程序根目录/conf/context.xml中将session持久化保存路径设置为特定安全路径。

【参考资料】

https://nvd.nist.gov/vuln/detail/CVE-2025-24813

https://www.openwall.com/lists/oss-security/2025/03/10/5