Journal de reproduction locale de la CVE-2025-24813 d'Apache Tomcat

Uniquement destiné à des expérimentations locales autorisées, à la compréhension des correctifs et à la validation défensive. Veuillez ne pas envoyer de requêtes à des cibles non autorisées.

Ce projet documente le processus de reproduction de la CVE-2025-24813 sur une instance locale d'Apache Tomcat 9.0.98 : utilisation de partial PUT pour écrire un fichier temporaire, puis, dans une configuration où la persistance de Session de type fichier est activée et où les conditions de filtrage de la désérialisation sont laxistes, vérification de la chaîne de chargement du fichier de Session et d'exécution du Payload.

Résumé des conclusions

• Version testée : Apache Tomcat 9.0.98 (captures d'écran et enregistrements d'expérimentation locale)
• Version corrigée : Apache Tomcat 9.0.99
• Conditions préalables clés : capacité d'écriture du Default Servlet activée, partial PUT disponible, persistance de Session de type fichier utilisant l'emplacement par défaut, et présence dans le classpath de l'application d'une bibliothèque de désérialisation exploitable.
• Cette expérimentation confirme d'abord le succès de l'écriture de .inject.session dans le répertoire de travail, puis confirme que l'accès déclenche le chargement de la Session et l'exécution du Payload ; il ne faut pas juger du succès uniquement à partir du code de statut HTTP.
• Certaines requêtes d'expérimentation renvoient 409 ou 500, mais l'écriture du fichier et le déclenchement ultérieur doivent encore être évalués par étapes, en combinant le contenu du fichier, les journaux du serveur et les effets secondaires contrôlés.

L'avis de sécurité officiel d'Apache énumère les conditions de déclenchement de CVE-2025-24813, la plage d'impact (Tomcat 9.0.0-M1 à 9.0.98) et les informations de correction dans la version 9.0.99 : https://tomcat.apache.org/security-9

Environnement d'expérimentation

• Apache Tomcat 9.0.98
• Java 17 (la version réellement exécutée sur la machine d'expérimentation est celle indiquée par java -version)
• Linux
• Python 3, requests
• Écoute uniquement sur l'hôte local 127.0.0.1:8080

Structure des répertoires

scripts/reproduce_local.py       # Script de validation locale, cible par défaut localhost:8080
evidence/                         # Captures d'écran d'expérimentation (renommées par étape)

Mode d'exécution

python3 -m venv .venv
. .venv/bin/activate
python -m pip install requests
python scripts/reproduce_local.py

La cible dans le script est fixée à l'adresse d'expérimentation locale et ne contient aucune logique de scan distant. Avant l'exécution, il convient de confirmer dans l'instance Tomcat locale :

1. que la capacité d'écriture du Default Servlet est activée selon la configuration d'expérimentation ;
2. que la persistance de Session de type fichier est activée ;
3. que l'application cible contient les bibliothèques nécessaires à l'expérimentation ;
4. que le répertoire des journaux du serveur et work/Catalina/localhost/ROOT sont observables.

Points de vérification

1. PUT /inject/session avec Content-Range, observer si le fichier temporaire est généré ;
2. vérifier la taille et le contenu de work/Catalina/localhost/ROOT/.inject.session ;
3. accéder à une page locale contrôlée avec JSESSIONID=.inject, observer le chargement du fichier de Session ;
4. confirmer l'exécution du Payload en combinant les journaux Tomcat et les effets secondaires de l'expérimentation ;
5. consigner séparément la réponse HTTP, l'état du fichier et les résultats des journaux, afin d'éviter de considérer directement 409/500 comme un échec ou un succès de la reproduction de la vulnérabilité.

Remarques sur le format des requêtes

Les en-têtes HTTP doivent utiliser de véritables CRLF (octets 0d 0a) ; ne pas envoyer 0x0d0x0a comme texte visible. En Python, utiliser b"\\r\\n" ou laisser requests construire les en-têtes de requête.

Vérification de la protection et du correctif

Donnez la priorité à la mise à niveau vers une version de Tomcat incluant le correctif, puis revérifiez les permissions d'écriture du Default Servlet, les cas d'usage du PUT partiel et la configuration du filtre de persistance de Session. Après le correctif, répétez le même ensemble d'étapes de validation locale ; on s'attend à ce que la chaîne d'écriture de fichiers temporaires ou la chaîne de chargement de Session ne soit plus exploitable.

Clause de non-responsabilité

Ce dépôt ne fournit aucune fonctionnalité de scan, de persistance ou d'exploitation en masse visant des cibles Internet. Tout le contenu est strictement limité à l'environnement d'expérimentation local sous mon contrôle et à des environnements d'entraînement explicitement autorisés.