Apache-Tomcat-CVE-2025-24813-Lab

CVE-2025-24813: Laboratório de Deteção e Mitigação do Apache Tomcat

Um projeto de portefólio de cibersegurança defensiva que demonstra investigação de vulnerabilidades, engenharia de deteção, correlação de registos, mitigação em camadas e documentação técnica num ambiente isolado de duas VMs.

Resumo do projeto

Este repositório documenta uma investigação laboratorial universitária autorizada da CVE-2025-24813, uma vulnerabilidade do Apache Tomcat que envolve o Default Servlet com escrita ativada e o tratamento de PUT parciais. Sob uma combinação específica de configuração insegura e condições da aplicação, o problema pode levar à divulgação de informação, à modificação de ficheiros carregados ou à execução remota de código através da desserialização de sessões.

O projeto centra-se no fluxo de trabalho do defensor:

Construir um ambiente de teste virtual isolado e reproduzível.

• Observar atividade suspeita na web, na rede e no host.

• Detetar atividade usando Suricata, Splunk, registos de acesso do Tomcat e auditd.

• Correlacionar múltiplas fontes de telemetria para aumentar a confiança.

• Aplicar o endurecimento do Tomcat, controlos de firewall no host, privilégio mínimo e controlos IDS/IPS.

• Retestar e documentar a diferença entre o estado exposto e o estado protegido.

• Não estão incluídos payloads maliciosos, reverse shells, scripts de exploração armados ou binários de exploração de terceiros.

Arquitetura do laboratório

flowchart LR subgraph VBOX[Isolated VirtualBox NAT Network] VM1[VM1 - Security Workstation\n192.168.1.17\nUbuntu\nSplunk Enterprise\nAuthorised validation tools] VM2[VM2 - Tomcat Server\n192.168.1.19\nUbuntu\nApache Tomcat 10.1.16\nSuricata + auditd + UFW\nSplunk Universal Forwarder] VM1 -->|Lab HTTP traffic :8080| VM2 VM2 -->|Tomcat, Suricata and audit logs| VM1 end