nuclei-CVE-2025-24813

Ce dépôt contient un modèle yaml, permettant de scanner si un service peut être vulnérable à CVE-2025-24813, sans perturber le serveur ni causer quelconque dommage, à l'aide du scanner de vulnérabilités nuclei.

CVE-2025-24813

CVE-2025-24813 est une vulnérabilité du serveur web Apache Tomcat des versions 9.0.0-9.0.98, 10.1.0-10.1.34 et 11.0.0-11.0.2. Elle nécessite que le serveur soit configuré pour autoriser l'accès en écriture via un PUT partiel et que les sessions persistantes soient activées.

Une attaque potentielle fonctionne en écrivant dans un fichier avec un nom inattendu en exploitant l'équivalence de chemin via un PUT partiel pour modifier un fichier de session enregistré afin qu'il contienne du code Java malveillant. Tenter d'interagir avec le serveur via la session modifiée exécute alors le code Java inséré.

Méthodologie de scan

Ce modèle se compose de trois étapes pour vérifier si le serveur est vulnérable :

• Une requête GET, utilisée pour vérifier le type de serveur et la version ; Ce matcher ne passe que si le serveur scanné est Apache Tomcat et que sa version spécifiée est vulnérable. Si le numéro de version exact est omis, le matcher passe quand même.
• Une requête PUT pour tester si l'écriture sur le serveur est possible. La requête utilise un en-tête Content-Range pour simuler un PUT partiel, sans avoir à modifier réellement les fichiers présents sur le serveur. Ce matcher passe si le code de statut de la réponse est 200, 201 ou 204.
• Une requête DELETE pour supprimer le fichier précédemment téléversé, afin de ne laisser aucun artefact derrière. Cette requête n'a pas de matcher, car elle ne sert qu'au nettoyage et n'est pas un indicateur réel de la vulnérabilité

Ce test spécifiquement ne vérifie pas si les sessions persistantes sont activées et si des fichiers de session peuvent être écrits, car cela pourrait perturber le fonctionnement normal du serveur, et déplacerait donc ce modèle dans le territoire de l'Exploit, au lieu d'être purement de la reconnaissance.