Goby 漏洞安全通告| Apache Tomcat 远程命令执行(CVE-2025-24813)

漏洞名称:Apache Tomcat 远程命令执行(CVE-2025-24813)

English Name:Apache Tomcat Remote Command Execution Vulnerability (CVE-2025-24813)

CVSS core:

6.4

风险等级:

高风险

漏洞描述:

Apache Tomcat 是一个开源的 Java Servlet 容器,广泛用于运行基于 Java 的 Web 应用程序。该漏洞(CVE-2025-24813)允许远程攻击者通过特定的恶意请求在目标系统上执行任意命令,从而完全控制受影响的服务器。

满足以下条件,攻击者可以远程代码执行(RCE):

  1. DefaultServlet 启用了写入权限(默认情况下禁用)。
  2. 服务器启用了partial PUT(默认启用)。
  3. Tomcat 使用了基于文件的 Session 持久化机制(非默认配置,默认为基于内存持久化),且存储位置为默认路径。
  4. 应用程序包含 可利用的反序列化漏洞库(如 Commons-Collections 3.x)。

FOFA自检语句:

app="APACHE-Tomcat"

受影响资产数量:

600W+

受影响版本:

11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.2

10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.34

9.0.0.M1 ≤ Apache Tomcat ≤ 9.0.98

解决方案:

Apache 官方已发布安全通告并发布了修复版本11.0.3、10.1.35、9.0.99,请尽快下载安全版本修复漏洞

漏洞检测工具:

【Goby】-资产绘测及实战化漏洞扫描工具,实战漏洞验证效果如图所示(标准版及企业版已支持检测):

查看Goby更多漏洞:Goby历史漏洞合集

相关推荐
旷野说9 小时前
Spring Boot 1.x、2.x 3.x区别汇总
java·spring·tomcat·1024程序员节
JH307314 小时前
jvm,tomcat,spring的bean容器,三者的关系
jvm·spring·tomcat
R.lin17 小时前
使用 Undertow 替代 Tomcat
java·后端·tomcat
Live&&learn18 小时前
Tomcat 10和Tomcat 9引入servlet的不同
java·servlet·tomcat
tritone20 小时前
在优豆云免费云服务器上搭建与配置Apache的实践笔记
服务器·网络·apache·1024程序员节
K_i1341 天前
Tomcat核心原理与运维实战指南
java·运维·tomcat
黑猫酋长1 天前
Apache Zeppelin:一款强大的数据分析和可视化工具
数据挖掘·数据分析·apache
belldeep1 天前
网络安全:Apache Druid 安全漏洞
网络安全·apache·druid
SelectDB2 天前
Apache Doris 4.0 版本正式发布:全面升级 AI 与搜索能力,强化离线计算
数据库·数据分析·apache
SelectDB2 天前
从 Snowflake 到 Apache Doris:Planet 实时分析成本直降 80%、查询加速 90 倍
数据库·数据分析·apache