CVE-2025-24813 - अपाचे टॉमकैट आंशिक PUT + डिसीरियलाइज़ेशन RCE

📋 अवलोकन

CVE-2025-24813 अपाचे टॉमकैट में एक उच्च-गंभीरता वाली कमजोरी है जो अप्रमाणित रिमोट कोड निष्पादन की अनुमति देती है जब तीन शर्तें पूरी होती हैं:

डिफ़ॉल्ट सर्वलेट में लेखन पहुंच सक्षम है (readonly=false)।
आंशिक PUT समर्थन सक्षम है (डिफ़ॉल्ट)।
फ़ाइल-आधारित सत्र स्थिरता कॉन्फ़िगर की गई है (PersistentManager FileStore के साथ)।

एक हमलावर आंशिक PUT अनुरोध (Content-Range हेडर का उपयोग करके) के माध्यम से एक दुर्भावनापूर्ण क्रमबद्ध जावा ऑब्जेक्ट को सत्र भंडारण निर्देशिका में अपलोड कर सकता है। इसके बाद एक गढ़े हुए JSESSIONID कुकी के साथ GET अनुरोध भेजकर, टॉमकैट ऑब्जेक्ट को डिसीरियलाइज़ करता है और मनमाना कमांड निष्पादित करता है (बशर्ते क्लासपाथ में एक डिसीरियलाइज़ेशन गैजेट – जैसे, commons-collections – मौजूद हो)।

⚠️ महत्वपूर्ण
यह कमजोरी डिफ़ॉल्ट टॉमकैट इंस्टॉलेशन में मौजूद नहीं है। इसके लिए विशिष्ट (और असामान्य) कॉन्फ़िगरेशन परिवर्तनों की आवश्यकता होती है जो आमतौर पर केवल विकास या अनुकूलित वातावरण में पाए जाते हैं।

🎯 प्रभावित संस्करण

अपाचे टॉमकैट 9.0.90
अपाचे टॉमकैट 10.1.34
अपाचे टॉमकैट 11.0.2

पुराने संस्करण भी कमजोर हो सकते हैं यदि वही गलत कॉन्फ़िगरेशन मौजूद हों।

🔧 पूर्वापेक्षाएँ

लक्ष्य मशीन

Docker और Docker Compose
Git

हमलावर मशीन

Python 3
pip (requests लाइब्रेरी के लिए)
जावा रनटाइम (ysoserial चलाने के लिए)
netcat (nc)
curl

🚀 त्वरित आरंभ (लैब सेटअप)

1. कमजोर टॉमकैट कंटेनर बनाएँ (लक्ष्य)

git clone https://github.com/beyond-devsecops/CVE-2025-24813.git
cd CVE-2025-24813
chmod +x 0-run-tomcat.sh
bash 0-run-tomcat.sh

CVE-2025-24813-Apache-Tomcat-Partial-PUT-Deserialization-RCE-

सबसे लोकप्रिय