CVE-2025-24813 - Apache Tomcat Partial PUT + 역직렬화 RCE

📋 개요

CVE-2025-24813은 Apache Tomcat에서 발견된 높은 심각도의 취약점으로, 다음 세 가지 조건이 모두 충족될 때 인증되지 않은 원격 코드 실행을 허용합니다:

1. 기본 서블릿에 쓰기 액세스가 활성화되어 있음 (readonly=false).
2. 부분 PUT 지원이 활성화되어 있음 (기본값).
3. 파일 기반 세션 지속성이 구성되어 있음 (FileStore와 함께 PersistentManager 사용).

공격자는 부분 PUT 요청(Content-Range 헤더 사용)을 통해 악의적인 직렬화된 Java 객체를 세션 저장소 디렉터리에 업로드할 수 있습니다. 그런 다음 조작된 JSESSIONID 쿠키로 GET 요청을 보내면 Tomcat이 객체를 역직렬화하여 임의의 명령을 실행합니다 (역직렬화 가젯(예: commons-collections)이 클래스패스에 존재하는 경우).

⚠️ 중요
이 취약점은 기본 Tomcat 설치에는 존재하지 않습니다. 일반적으로 개발 또는 맞춤형 환경에서만 발견되는 특정한 (드문) 구성 변경이 필요합니다.

🎯 영향을 받는 버전

• Apache Tomcat 9.0.90
• Apache Tomcat 10.1.34
• Apache Tomcat 11.0.2

동일한 잘못된 구성이 존재하는 경우 이전 버전도 취약할 수 있습니다.

🔧 사전 요구 사항

대상 머신

• Docker 및 Docker Compose
• Git

공격자 머신

• Python 3
• pip (requests 라이브러리용)
• Java 런타임 (ysoserial 실행용)
• netcat (nc)
• curl

---

🚀 빠른 시작 (랩 설정)

1. 취약한 Tomcat 컨테이너 빌드 (대상)

git clone https://github.com/beyond-devsecops/CVE-2025-24813.git
cd CVE-2025-24813
chmod +x 0-run-tomcat.sh
bash 0-run-tomcat.sh