部分 PUT 请求与路径规范化处理不一致，在启用可写默认 Servlet 等条件下，远程攻击者可能写入恶意内容并造成代码执行、信息泄露或数据篡改。
漏洞概览
- CVE 编号
- CVE-2025-24813
- 影响产品
- Apache Tomcat
- 漏洞类型
- 远程代码执行与信息泄露
- CWE 分类
- CWE-44 / CWE-502
- CVE 公开日期
- 2025-03-10
- CVE 记录更新日期
- 2025-10-29
- 资料核验日期
- 2026-09-18
- 区域标签
- 全球（Java 服务器）
安全风险等级评估
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| Tomcat 9.0 | 9.0.0-M1—9.0.98 | 9.0.99 |
| Tomcat 10.1 | 10.1.0-M1—10.1.34 | 10.1.35 |
| Tomcat 11.0 | 11.0.0-M1—11.0.2 | 11.0.3 |
| Tomcat 8.5（EOL） | 8.5.0—8.5.100；更早 EOL 版本也可能受影响 | 迁移至受支持且已修复分支 |
漏洞详情
漏洞机制
Tomcat 对包含内部点号的路径等价关系处理不当。在 Default Servlet 允许写入并支持 partial PUT 时，可能使部分上传文件的处理边界发生混淆，造成信息泄露、文件内容注入，或在额外条件下形成代码执行。
触发条件与权限边界
远程代码执行需要同时满足：Default Servlet 可写（默认关闭）、partial PUT 支持开启（默认开启）、应用采用默认存储位置的文件型 session persistence，以及存在可被用于反序列化攻击的库。缺少这些条件时不能直接宣称可 RCE。
场景与影响
信息泄露/内容注入具有另一组条件：敏感上传目录位于公共上传目录之下，攻击者知道敏感文件名，且这些文件也通过 partial PUT 上传。应将这组条件与反序列化代码执行条件分别评估。
检测与排查
资产、配置与日志核查
读取 Tomcat 实际版本、Default Servlet 的 readonly/allowPartialPut 配置、持久化存储位置与应用依赖，核查异常上传及会话文件。禁止通过写入恶意持久化文件验证生产系统。
防范措施与修复验证
修复与缓解
升级到当前受支持且包含此修复的 Tomcat 版本；关闭不需要的 Default Servlet 写入与 partial PUT，检查 session persistence 和上传目录关系。配置收敛不能替代版本修复及历史文件完整性排查。
修复后的验证
完成变更后，回读 Apache Tomcat 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。
参考来源
英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。
暂无评论内容