Apache-Tomcat-CVE-2025-24813-Lab

CVE-2025-24813 : Laboratoire de détection et d'atténuation d'Apache Tomcat

Un projet de portfolio en cybersécurité défensive démontrant la recherche de vulnérabilités, l'ingénierie de détection, la corrélation de journaux, l'atténuation en couches et la documentation technique dans un environnement isolé à deux machines virtuelles.

Résumé du projet

Ce dépôt documente une investigation en laboratoire universitaire autorisée de CVE-2025-24813, une vulnérabilité d'Apache Tomcat impliquant le Default Servlet activé en écriture et la gestion des requêtes PUT partielles. Dans une combinaison spécifique de configuration non sécurisée et de conditions applicatives, le problème peut entraîner une divulgation d'informations, la modification de fichiers téléversés ou une exécution de code à distance via la désérialisation de session.

Le projet se concentre sur le flux de travail du défenseur :

Construire un environnement de test virtuel isolé et reproductible.

• Observer les activités web, réseau et hôte suspectes.

• Détecter l'activité à l'aide de Suricata, Splunk, des journaux d'accès Tomcat et d'auditd.

• Corréler plusieurs sources de télémétrie pour accroître la confiance.

• Appliquer le durcissement de Tomcat, les contrôles de pare-feu hôte, le moindre privilège et les contrôles IDS/IPS.

• Retester et documenter la différence entre l'état exposé et l'état sécurisé.

• Aucune charge utile malveillante, aucun reverse shell, aucun script d'exploit weaponisé ni aucun binaire d'exploit tiers n'est inclus.

Architecture du laboratoire

flowchart LR subgraph VBOX[Isolated VirtualBox NAT Network] VM1[VM1 - Security Workstation\n192.168.1.17\nUbuntu\nSplunk Enterprise\nAuthorised validation tools] VM2[VM2 - Tomcat Server\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|Lab HTTP traffic :8080| VM2 VM2 -->|Tomcat, Suricata and audit logs| VM1 end