CVE-2025-24813 - Apache Tomcat 部分PUT + デシリアライゼーションRCE

📋 概要

CVE-2025-24813は、Apache Tomcatにおける高深刻度の脆弱性であり、以下の3つの条件が揃った場合に認証不要のリモートコード実行を可能にします：

1. デフォルトサーブレットで書き込みアクセスが有効になっている（readonly=false）。
2. 部分PUT（Partial PUT）サポートが有効になっている（デフォルト）。
3. ファイルベースのセッション永続化が設定されている（PersistentManagerによるFileStore）。

攻撃者は、部分PUTリクエスト（Content-Rangeヘッダーを使用）を介して悪意のあるシリアライズ済みJavaオブジェクトをセッションストレージディレクトリにアップロードできます。その後、細工されたクッキーを含むGETリクエストを送信すると、Tomcatがそのオブジェクトをデシリアライズし、任意のコマンドを実行します（ただし、クラスパスにデシリアライゼーションガジェット（例：）が存在する必要があります）。