nuclei-CVE-2025-24813

Este repositório contém um yaml-template, para escanear se um Serviço pode estar vulnerável ao CVE-2025-24813, sem interromper o servidor/causar qualquer forma de dano, usando o scanner de vulnerabilidades nuclei.

CVE-2025-24813

CVE-2025-24813 é uma vulnerabilidade no servidor web Apache Tomcat da versão 9.0.0-9.0.98, 10.1.0-10.1.34 e 11.0.0-11.0.2. Requer que o Servidor esteja configurado para permitir Acesso de Escrita via PUT parcial e tenha sessões persistentes habilitadas.

Um Ataque potencial funciona escrevendo em um arquivo com um nome inesperado, fazendo uso de equivalência de caminho via PUT parcial para modificar um arquivo de Sessão salvo e conter Código Java malicioso. Tentar interagir com o servidor através da sessão modificada então executa o código Java inserido.

Metodologia de escaneamento

Este template consiste em três etapas usadas para verificar se o Servidor está vulnerável:

• Uma requisição GET, usada para verificar o tipo de Servidor e a versão; Este matcher só passa se o Servidor escaneado for Apache Tomcat e sua versão especificada for vulnerável. Se o número exato da versão for omitido, o matcher ainda passa.
• Uma requisição PUT para testar se a escrita no servidor é possível. A requisição usa um cabeçalho Content-Range para simular PUT parcial, sem ter que realmente modificar arquivos presentes no servidor. Este matcher passa se o código de status da resposta for 200, 201 ou 204.
• Uma requisição DELETE para se livrar do arquivo previamente enviado, para não deixar quaisquer artefatos para trás. Esta requisição não tem um matcher, pois é meramente limpeza e não um indicador real da vulnerabilidade

Este teste especificamente não verifica se sessões persistentes estão habilitadas e se arquivos de sessão podem ser escritos, pois isso pode interromper o funcionamento regular do servidor, e assim moveria este template para território de Exploit, em vez de ser puramente reconhecimento.