CVE-2025-24813

CVE-2025-24813

Apache Tomcat - सत्र डिसीरियलाइजेशन के माध्यम से दूरस्थ कोड निष्पादन

अप्रमाणित आंशिक PUT + पथ ट्रैवर्सल + गैजेट-संचालित डिसीरियलाइजेशन

विवरण

Apache Tomcat इंस्टेंस जिनमें डिफ़ॉल्ट सर्वलेट PUT सक्षम है (readonly=false), HTTP PUT अनुरोधों के माध्यम से फ़ाइलें लिखने की अनुमति देते हैं। अपलोड निर्देशिका से FileStore सत्र भंडारण स्थान तक पथ ट्रैवर्सल करने वाले पथ को तैयार करके, एक हमलावर एक निर्मित सीरियलाइज्ड Java ऑब्जेक्ट को .session फ़ाइल के रूप में रोप सकता है। इस सत्र को संदर्भित करने वाला अगला अनुरोध डिसीरियलाइजेशन को ट्रिगर करता है, जिससे एम्बेडेड गैजेट चेन निष्पादित होती है।

पूर्व शर्तें

• conf/web.xml में डिफ़ॉल्ट सर्वलेट readonly=false
• वेबऐप के META-INF/context.xml में org.apache.catalina.session.PersistentManager जिसमें FileStore कॉन्फ़िगर किया गया हो
• org.apache.commons.collections.enableUnsafeSerialization=true (या commons-collections < 3.2.2)
• रिवर्स प्रॉक्सी या WAF द्वारा PUT और पथ ट्रैवर्सल को फ़िल्टर नहीं किया गया हो
• हमलावर मशीन पर ysoserial.jar

उपयोग

git clone https://github.com/yuzuki-ayanami/CVE-2025-24813
cd CVE-2025-24813
pip install -r requirements.txt

python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'id'
python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'whoami' --gadget CommonsCollections7

आवश्यकताएँ

• Python 3.8+
• requests
• ysoserial.jar
• Java (ysoserial चलाने के लिए)