Apache-Tomcat-CVE-2025-24813-Lab

CVE-2025-24813: Apache Tomcat Erkennung & Absicherungslabor

Ein defensives Cybersicherheits-Portfolioprojekt, das Schwachstellenforschung, Detection Engineering, Log-Korrelation, mehrschichtige Absicherung und technische Dokumentation in einer isolierten Umgebung mit zwei VMs demonstriert.

Projektzusammenfassung

Dieses Repository dokumentiert eine autorisierte universitäre Laboruntersuchung von CVE-2025-24813, einer Apache-Tomcat-Schwachstelle im Zusammenhang mit dem schreibaktivierten Default Servlet und der Behandlung partieller PUT-Anfragen. Unter einer bestimmten Kombination aus unsicherer Konfiguration und Anwendungsbedingungen kann das Problem zu Informationsoffenlegung, der Modifikation hochgeladener Dateien oder zur Remote-Code-Ausführung durch Session-Deserialisierung führen.

Der Schwerpunkt des Projekts liegt auf dem Workflow des Verteidigers:

Aufbau einer isolierten und reproduzierbaren virtuellen Testumgebung.

• Beobachtung verdächtiger Web-, Netzwerk- und Host-Aktivitäten.

• Erkennung von Aktivitäten mit Suricata, Splunk, Tomcat-Zugriffsprotokollen und auditd.

• Korrelation mehrerer Telemetriequellen zur Erhöhung der Zuverlässigkeit.

• Anwendung von Tomcat-Härtung, Host-Firewall-Kontrollen, Least Privilege und IDS/IPS-Kontrollen.

• Erneute Prüfung und Dokumentation des Unterschieds zwischen dem exponierten und dem abgesicherten Zustand.

• Es sind keine schädlichen Payloads, Reverse Shells, weaponisierten Exploit-Skripte oder Exploit-Binaries von Drittanbietern enthalten.

Laborarchitektur

flowchart LR subgraph VBOX[Isoliertes VirtualBox-NAT-Netzwerk] VM1[VM1 - Sicherheits-Workstation\n192.168.1.17\nUbuntu\nSplunk Enterprise\nAutorisierte Validierungswerkzeuge] VM2[VM2 - Tomcat-Server\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|Labor-HTTP-Verkehr :8080| VM2 VM2 -->|Tomcat-, Suricata- und Audit-Logs| VM1 end