CVE-2025-24813: Laboratorio di rilevamento e mitigazione di Apache Tomcat

Un progetto di portfolio di cybersecurity difensiva che dimostra ricerca sulle vulnerabilità, detection engineering, correlazione dei log, mitigazione a più livelli e documentazione tecnica in un ambiente isolato con due VM.

Riepilogo del progetto

Questo repository documenta un'indagine di laboratorio universitaria autorizzata su CVE-2025-24813, una vulnerabilità di Apache Tomcat che coinvolge la Default Servlet con scrittura abilitata e la gestione delle richieste PUT parziali. In una specifica combinazione di configurazione non sicura e condizioni applicative, il problema può portare a divulgazione di informazioni, modifica dei file caricati o esecuzione di codice remoto tramite deserializzazione della sessione.

Il progetto si concentra sul flusso di lavoro del difensore:

Costruire un ambiente di test virtuale isolato e riproducibile.

Osservare attività web, di rete e host sospette.
Rilevare l'attività utilizzando Suricata, Splunk, i log di accesso di Tomcat e auditd.
Correlare più fonti di telemetria per aumentare la fiducia.
Applicare l'hardening di Tomcat, i controlli del firewall host, il principio del minimo privilegio e i controlli IDS/IPS.
Rieseguire i test e documentare la differenza tra lo stato esposto e quello protetto.
Non sono inclusi payload malevoli, reverse shell, script di exploit weaponizzati o binari di exploit di terze parti.

Architettura del laboratorio

flowchart LR subgraph VBOX[Isolated VirtualBox NAT Network] VM1[VM1 - Security Workstation\n192.168.1.17\nUbuntu\nSplunk Enterprise\nAuthorised validation tools] VM2[VM2 - Tomcat Server\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|Lab HTTP traffic :8080| VM2 VM2 -->|Tomcat, Suricata and audit logs| VM1 end

Apache-Tomcat-CVE-2025-24813-Lab

Più Popolari