CVE-2025-24813

CVE-2025-24813

Apache Tomcat - تنفيذ الأوامر عن بُعد عبر إلغاء تسلسل الجلسات

PUT جزئي غير موثَّق + اجتياز المسار + إلغاء تسلسل مدفوع بـ gadget

الوصف

تسمح نسخ Apache Tomcat التي يكون فيها servlet الافتراضي PUT مفعّلًا (readonly=false) بكتابة الملفات عبر طلبات HTTP PUT. من خلال صياغة مسار يتجاوز دليل الرفع وصولًا إلى موقع تخزين الجلسات FileStore، يمكن للمهاجم زرع كائن Java مُسلسَل ومُصمَّم خصيصًا كملف .session. أي طلب لاحق يشير إلى هذه الجلسة يؤدي إلى إلغاء التسلسل وتنفيذ سلسلة الـ gadget المدمجة.

الشروط المسبقة

• تفعيل readonly=false في servlet الافتراضي داخل conf/web.xml
• إعداد org.apache.catalina.session.PersistentManager مع FileStore في META-INF/context.xml الخاص بالتطبيق
• ضبط org.apache.commons.collections.enableUnsafeSerialization=true (أو استخدام commons-collections < 3.2.2)
• عدم تصفية PUT واجتياز المسار بواسطة وكيل عكسي أو WAF
• وجود ysoserial.jar على جهاز المهاجم

الاستخدام

git clone https://github.com/yuzuki-ayanami/CVE-2025-24813
cd CVE-2025-24813
pip install -r requirements.txt

python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'id'
python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'whoami' --gadget CommonsCollections7

المتطلبات

• Python 3.8+
• requests
• ysoserial.jar
• Java (لتشغيل ysoserial)