CVE-2025-55752: Уязвимость обхода пути в Apache Tomcat

Среда воспроизведения на основе Docker для демонстрации уязвимости обхода пути CVE-2025-55752 в Apache Tomcat 10.1.44.

Обзор

CVE-2025-55752 — это уязвимость обхода пути в компоненте RewriteValve Apache Tomcat, вызванная некорректным порядком обработки URL: нормализация URL происходит перед декодированием URL. Это позволяет злоумышленнику использовать URL-кодированные последовательности обхода пути (например, ..%2f) для обхода ограничений безопасности и доступа к защищённым каталогам (например, /WEB-INF/).

Характеристики уязвимости

CVE ID: CVE-2025-55752
CVSS v3.1: 7.5 (высокая)
CWE: CWE-22 (обход пути)
Затронутый компонент: Apache Tomcat RewriteValve
Основная причина: порядок обработки: сначала нормализация, затем декодирование

Затронутые версии

Серия	Затронутые версии	Исправленные версии
11.x	11.0.0-M1 – 11.0.10	11.0.11+
10.1.x	10.1.0-M1 – 10.1.44	10.1.45+
9.0.x	9.0.0-M11 – 9.0.108	9.0.109+
8.5.x	8.5.6 – 8.5.100	EOL – патча нет

Быстрый старт

Предварительные требования

Docker
Docker Compose

Настройка среды

Клонируйте репозиторий:

git clone https://github.com/AuroraSec-Pivot/CVE-2025-55752.git
cd CVE-2025-55752

Запустите уязвимую среду:

docker-compose up -d

Среда будет запущена по следующим адресам:
- Приложение Tomcat: http://localhost:8080

Проверка уязвимости

Проверьте уязвимость обхода пути, используя следующий URL:

http://localhost:8080/rewrite/..%2fWEB-INF/web.xml

Если уязвимость существует, вы сможете получить доступ к защищённому файлу /WEB-INF/web.xml.

Остановка среды

docker-compose down

Технические детали

Принцип уязвимости

Уязвимость связана с неправильным порядком обработки URL в компоненте RewriteValve:

Сначала URL нормализуется
Затем URL декодируется

Такой порядок позволяет злоумышленнику использовать URL-кодированные последовательности обхода пути (например, %2e%2e%2f или ..%2f) для обхода проверок безопасности и доступа к ресурсам, которые должны быть защищены.

Исправление

Обновите Tomcat до исправленной версии:

Tomcat 11.0.11+
Tomcat 10.1.45+
Tomcat 9.0.109+

Отказ от ответственности

Эта среда предназначена только для образовательных целей и исследований в области безопасности. Не используйте её в незаконных целях. Использование осуществляется на ваш собственный риск; автор не несёт никакой юридической ответственности.

CVE-2025-55752

Популярное