Apache Tomcat CVE-2025-24813 ローカル再現記録

ローカルで認可された実験、パッチ理解、防御検証にのみ使用してください。未認可のターゲットにリクエストを送信しないでください。

本プロジェクトは、Apache Tomcat 9.0.98 のローカルインスタンス上で CVE-2025-24813 を再現する過程を記録する：partial PUT を使用して一時ファイルを書き込み、ファイル型 Session 永続化が有効かつデシリアライズフィルタ条件が緩い構成の下で、Session ファイルのロードおよび Payload 実行チェーンを検証する。

結論の概要

• テストバージョン：Apache Tomcat 9.0.98（スクリーンショットとローカル実験記録）
• 修正バージョン：Apache Tomcat 9.0.99
• 重要な前提：Default Servlet の書き込み機能が有効、partial PUT が利用可能、ファイル型 Session 永続化がデフォルト位置を使用、およびアプリケーションのクラスパスに利用可能なデシリアライズクラスライブラリが存在すること。
• 本実験では、まず作業ディレクトリ内の .inject.session の書き込み成功を確認し、次にアクセスによって Session のロードと Payload の実行がトリガーされることを確認する。HTTP ステータスコードのみで成功を判断してはならない。
• 一部の実験リクエストは 409 または 500 を返すが、ファイルの書き込みと後続のトリガーは、ファイル内容、サーバーログ、および制御された副作用を組み合わせて段階的に判断する必要がある。

Apache 公式のセキュリティ公告では、CVE-2025-24813 の発生条件、影響範囲（Tomcat 9.0.0-M1 から 9.0.98 まで）、および 9.0.99 での修正情報が記載されています： https://tomcat.apache.org/security-9

実験環境

• Apache Tomcat 9.0.98
• Java 17（実験機の実際の実行バージョンは java -version による）
• Linux
• Python 3、requests
• ローカルの 127.0.0.1:8080 のみをリッスン

ディレクトリ構造

scripts/reproduce_local.py       # ローカル検証スクリプト、ターゲットはデフォルトで localhost:8080
evidence/                         # 実験スクリーンショット（手順ごとにリネーム済み）

実行方法

python3 -m venv .venv
. .venv/bin/activate
python -m pip install requests
python scripts/reproduce_local.py

スクリプト内のターゲットはローカル実験アドレスに固定されており、リモートスキャンロジックは含まれていない。実行前にローカルの Tomcat インスタンスで以下を確認すること：

1. Default Servlet の書き込み機能が実験構成に従って有効化されていること；
2. ファイル型 Session 永続化が有効化されていること；
3. ターゲットアプリケーションに実験に必要なクラスライブラリが含まれていること；
4. サーバーログディレクトリと work/Catalina/localhost/ROOT が観察可能であること。

検証の要点

1. PUT /inject/session に Content-Range を付与して送信し、一時ファイルが生成されるか観察する；
2. work/Catalina/localhost/ROOT/.inject.session のサイズと内容を確認する；
3. JSESSIONID=.inject を使用して制御されたローカルページにアクセスし、Session ファイルのロードを観察する；
4. Tomcat ログと実験の副作用を組み合わせて Payload が実行されたか確認する；
5. HTTP レスポンス、ファイル状態、ログ結果をそれぞれ記録し、409/500 を直接脆弱性再現の失敗または成功と見なさないこと。

リクエスト形式の注意事項

HTTP ヘッダーは必ず実際の CRLF（バイト 0d 0a）を使用し、0x0d0x0a を可視テキストとして送信しないこと。Python では b"\\r\\n" を使用するか、requests にリクエストヘッダーの構築を任せること。

防御と修正の検証

修正を含む Tomcat バージョンへ優先的にアップグレードし、Default Servlet の書き込み権限、partial PUT の使用シナリオ、Session 永続化フィルターの設定を再確認してください。修正後、同じローカル検証手順を繰り返すと、一時ファイル書き込み経路または Session 読み込み経路がもはや成立しないことが期待されます。

免責事項

本リポジトリは、インターネット上のターゲットに対するスキャン、永続化、または一括悪用機能を提供しない。すべての内容は、本人が管理するローカル実験環境および明確に認可されたターゲット環境に限定される。