漏洞预警 | Apache Tomcat 存在远程代码执行漏洞（CVE-2025-24813）

漏洞概述

漏洞类型	远程代码执行
漏洞等级	高危
漏洞编号	CVE-2025-24813
漏洞评分	无
利用复杂度	中
影响版本	11.0.0-M1 至 11.0.2 10.1.0-M1 到 10.1.34 9.0.0.M1 到 9.0.98
利用方式	远程
POC/EXP	已公开

近日， Apache Tomcat 发布更新修复漏洞（CVE-2025-24813）。为避免您的业务受影响，建议您及时开展安全风险自查。

Apache Tomcat 是一个Apache软件基金会属下Jakarta项目开发的开源的、轻量级的 Java Web 服务器 ，主要用于运行基于 Java Servlet 和 JavaServer Pages (JSP) 开发的 Web 应用程序，并提供了作为Web服务器的一些特有功能，如Tomcat管理和控制平台、安全局管理和Tomcat阀等。Apache Tomcat 是 Java Web 开发中不可或缺的工具，尤其适合需要快速部署、轻量级且灵活的 Web 应用场景。它的简单性和开源特性使其成为开发、测试和生产环境的首选服务器之一。

据描述，由于Apache Tomcat 的 Partial PUT的原始实现使用了一个临时文件，该文件基于用户提供的文件名和路径生成，其中路径中的分隔符被替换为点号“.”。攻击者可以精心构造恶意请求，查看服务器敏感文件或向文件写入恶意执行内容、任意代码执行等。如果以下所有条件均成立，恶意用户将能够执行远程代码执行（RCE）：

1、默认 Servlet 启用了写入功能（默认禁用）；

2、支持部分 PUT 请求（默认启用）；

3、应用程序使用了 Tomcat 的基于文件的会话持久化功能，并采用默认的存储位置；

4、应用程序中包含可能被用于反序列化攻击的库。

漏洞影响的产品和版本：

Apache Tomcat 11.0.0-M1 至 11.0.2

Apache Tomcat 10.1.0-M1 到 10.1.34

Apache Tomcat 9.0.0.M1 到 9.0.98

漏洞复现

资产测绘

据daydaymap数据显示互联网存在3,448,107 个资产，国内风险资产分布情况如下，主要分布在国内。

解决方案

1、临时缓解方案

①限制网络访，配置ip白名单，限制指定来源IP访问；

②部署针对 Apache Tomcat 平台安全监控系统，确保及时检测响应异常行为。

2、升级修复方案，官方已发布漏洞修复补丁

①升级到 Apache Tomcat 11.0.3 或更高版本；

②升级到 Apache Tomcat 10.1.35 或更高版本；

③升级到 Apache Tomcat 9.0.99 或更高版本。

参考链接

https://tomcat.apache.org/security-9.htmlhttps://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq

原文链接​​​​​​​