Registro di riproduzione locale di Apache Tomcat CVE-2025-24813

Solo per esperimenti locali autorizzati, comprensione delle patch e verifica difensiva. Non inviare richieste a target non autorizzati.

Questo progetto documenta il processo di riproduzione di CVE-2025-24813 su un'istanza locale di Apache Tomcat 9.0.98: utilizzando partial PUT per scrivere file temporanei, in una configurazione con persistenza delle Session basata su file abilitata e condizioni di filtro di deserializzazione permissive, si verifica il caricamento del file di Session e la catena di esecuzione del Payload.

Riepilogo delle conclusioni

• Versione testata: Apache Tomcat 9.0.98 (screenshot e registri degli esperimenti locali)
• Versione corretta: Apache Tomcat 9.0.99
• Prerequisiti chiave: capacità di scrittura del Default Servlet abilitata, partial PUT disponibile, persistenza delle Session basata su file nella posizione predefinita e presenza nel classpath dell'applicazione di librerie di deserializzazione sfruttabili.
• Questo esperimento conferma prima la scrittura riuscita di .inject.session nella directory di lavoro, poi conferma che l'accesso attiva il caricamento della Session e l'esecuzione del Payload; non è possibile giudicare il successo basandosi solo sul codice di stato HTTP.
• Alcune richieste dell'esperimento restituiscono 409 o 500, ma la scrittura del file e l'attivazione successiva devono comunque essere valutate per fasi, combinando il contenuto del file, i log del server e gli effetti collaterali controllati.

L'avviso di sicurezza ufficiale di Apache elenca i prerequisiti di attivazione, l'ambito di impatto (Tomcat 9.0.0-M1 fino a 9.0.98) e le informazioni sulla correzione in 9.0.99 per CVE-2025-24813: https://tomcat.apache.org/security-9

Ambiente dell'esperimento

• Apache Tomcat 9.0.98
• Java 17 (la versione effettivamente in esecuzione sulla macchina dell'esperimento è quella indicata da java -version)
• Linux
• Python 3, requests
• In ascolto solo su 127.0.0.1:8080 locale

Struttura delle directory

scripts/reproduce_local.py       # Script di verifica locale, target predefinito localhost:8080
evidence/                         # Screenshot dell'esperimento (rinominati per passaggio)

Modalità di esecuzione

python3 -m venv .venv
. .venv/bin/activate
python -m pip install requests
python scripts/reproduce_local.py

Il target nello script è fissato all'indirizzo dell'esperimento locale e non include logica di scansione remota. Prima dell'esecuzione, verificare nell'istanza Tomcat locale:

1. che la capacità di scrittura del Default Servlet sia abilitata secondo la configurazione dell'esperimento;
2. che la persistenza delle Session basata su file sia abilitata;
3. che l'applicazione target contenga le librerie necessarie all'esperimento;
4. che la directory dei log del server e work/Catalina/localhost/ROOT siano osservabili.

Punti di verifica

1. PUT /inject/session con Content-Range, osservare se viene generato il file temporaneo;
2. controllare dimensione e contenuto di work/Catalina/localhost/ROOT/.inject.session;
3. accedere a una pagina locale controllata con JSESSIONID=.inject, osservare il caricamento del file di Session;
4. confermare l'esecuzione del Payload combinando i log di Tomcat e gli effetti collaterali dell'esperimento;
5. registrare separatamente risposta HTTP, stato del file e risultati dei log, evitando di considerare direttamente 409/500 come fallimento o successo della riproduzione della vulnerabilità.

Note sul formato delle richieste

Le intestazioni HTTP devono utilizzare veri CRLF (byte 0d 0a), non inviare 0x0d0x0a come testo visibile. In Python si deve usare b"\\r\\n" o lasciare che requests costruisca le intestazioni della richiesta.

Verifica di protezione e correzione

Aggiornare con priorità alla versione di Tomcat che contiene la correzione e ricontrollare i permessi di scrittura della Default Servlet, gli scenari d'uso del partial PUT e la configurazione del filtro di persistenza della Session. Dopo la correzione, ripetere la stessa serie di passaggi di verifica locale, aspettandosi che la catena di scrittura dei file temporanei o la catena di caricamento della Session non siano più valide.

Dichiarazione di non responsabilità

Questo repository non fornisce funzionalità di scansione, persistenza o sfruttamento massivo rivolte a target Internet. Tutti i contenuti sono limitati ad ambienti di esperimento locali sotto il proprio controllo e a range di test esplicitamente autorizzati.