CVE-2025-24813 Apache Tomcat RCE PoC

Описание

Это Proof of Concept (PoC) для CVE-2025-24813, уязвимости удаленного выполнения кода (RCE) в Apache Tomcat. Уязвимость возникает из-за небезопасной десериализации специально созданных файлов сессий, загружаемых через HTTP PUT запросы, что позволяет злоумышленникам удаленно выполнять произвольный код на уязвимых серверах Tomcat.

Детали уязвимости

• CVE ID: CVE-2025-24813
• Затронутое ПО: Apache Tomcat (версии 9.0.0.M1 — 9.0.98, 10.1.0-M1 — 10.1.34, 11.0.0-M1 — 11.0.2)
• Тип: Удаленное выполнение кода (RCE)
• Вектор атаки: HTTP PUT с вредоносной нагрузкой сессии + HTTP GET для запуска десериализации
• Воздействие: Удаленный злоумышленник может выполнить произвольный Java-код на сервере

Предварительные требования

• Цель должна работать под управлением уязвимой версии Apache Tomcat
• HTTP PUT запросы должны быть разрешены для загрузки файлов в доступную для записи директорию
• Возможность запустить десериализацию, обратившись к загруженному файлу сессии
• Окружение Java для генерации нагрузок (например, с использованием ysoserial)

Использование

1. Сгенерировать нагрузку (опционально, если не включена): java -jar ysoserial.jar CommonsCollections1 "your_command" > payload.ser