CVE-2025-31650 — CVE-2025-31650 PoC | Kitploit

공유

TomcatKiller - CVE-2025-31650

🚨 Apache Tomcat HTTP/2 DoS 취약점(CVE-2025-31650)에 대한 개념 증명(PoC)

이 스크립트는 HTTP/2를 통해 잘못된 형식의 priority 헤더를 전송하여 Apache Tomcat에서 메모리 고갈 상태를 유발합니다.

🎯 영향을 받는 버전

Apache Tomcat 9.0.76 – 9.0.102
Apache Tomcat 10.1.10 – 10.1.39
Apache Tomcat 11.0.0-M2 – 11.0.5

⚙️ 기능

✔️ HTTP/2 지원 확인
✔️ Server 헤더 검사(Tomcat 감지)
✔️ --check-only 모드(비침습적)
✔️ 강도 조절이 가능한 비동기 기반 확장형 익스플로잇

🚀 사용법

✅ 확인 전용(안전한 탐지)

python3 tomcatkiller.py --target https://example.com:8443 --check-only

💥 익스플로잇(DoS)

python3 tomcatkiller.py --target https://example.com:8443 --exploit --tasks 50 --requests 5000

도구 다운로드

매개변수	설명
`--target`	프로토콜과 포트를 포함한 전체 대상 URL
`--check-only`	서버가 HTTP/2 및 Tomcat을 지원하는지만 테스트
`--exploit`	실제 DoS 공격 실행
`--tasks`	비동기 작업 수(기본값: 50)
`--requests`	작업당 요청 수(기본값: 5000)