Apache-Tomcat-CVE-2025-24813-Lab

CVE-2025-24813: Laboratorio de detección y mitigación de Apache Tomcat

Un proyecto de portafolio de ciberseguridad defensiva que demuestra investigación de vulnerabilidades, ingeniería de detección, correlación de registros, mitigación por capas y documentación técnica en un entorno aislado de dos máquinas virtuales.

Resumen del proyecto

Este repositorio documenta una investigación de laboratorio universitario autorizada sobre CVE-2025-24813, una vulnerabilidad de Apache Tomcat que involucra el Default Servlet con escritura habilitada y el manejo de PUT parcial. Bajo una combinación específica de configuración insegura y condiciones de la aplicación, el problema puede provocar divulgación de información, modificación de archivos subidos o ejecución remota de código mediante la deserialización de sesiones.

El proyecto se centra en el flujo de trabajo del defensor:

Construir un entorno de pruebas virtual aislado y reproducible.

• Observar actividad sospechosa en la web, la red y el host.

• Detectar actividad usando Suricata, Splunk, los registros de acceso de Tomcat y auditd.

• Correlacionar múltiples fuentes de telemetría para aumentar la confianza.

• Aplicar el endurecimiento de Tomcat, controles de firewall del host, mínimo privilegio y controles IDS/IPS.

• Volver a probar y documentar la diferencia entre el estado expuesto y el estado protegido.

• No se incluyen payloads maliciosos, reverse shells, scripts de explotación armados ni binarios de explotación de terceros.

Arquitectura del laboratorio

flowchart LR subgraph VBOX[Red NAT aislada de VirtualBox] VM1[VM1 - Estación de trabajo de seguridad\n192.168.1.17\nUbuntu\nSplunk Enterprise\nHerramientas de validación autorizadas] VM2[VM2 - Servidor Tomcat\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|Tráfico HTTP del laboratorio :8080| VM2 VM2 -->|Registros de Tomcat, Suricata y audit| VM1 end