Goby 漏洞安全通告｜ Apache Tomcat 远程命令执行(CVE-2025-24813)

漏洞名称：Apache Tomcat 远程命令执行(CVE-2025-24813)

English Name：Apache Tomcat Remote Command Execution Vulnerability (CVE-2025-24813)

CVSS core:

6.4

风险等级：

高风险

漏洞描述：

Apache Tomcat 是一个开源的 Java Servlet 容器，广泛用于运行基于 Java 的 Web 应用程序。该漏洞（CVE-2025-24813）允许远程攻击者通过特定的恶意请求在目标系统上执行任意命令，从而完全控制受影响的服务器。
满足以下条件，攻击者可以远程代码执行（RCE）：

1. DefaultServlet 启用了写入权限（默认情况下禁用）。
2. 服务器启用了partial PUT（默认启用）。
3. Tomcat 使用了基于文件的 Session 持久化机制（非默认配置，默认为基于内存持久化），且存储位置为默认路径。
4. 应用程序包含 可利用的反序列化漏洞库（如 Commons-Collections 3.x）。

FOFA自检语句：

app=“APACHE-Tomcat”

受影响资产数量:

600W+

受影响版本:

11.0.0-M1 ≤ Apache Tomcat ≤ 11.0.2
10.1.0-M1 ≤ Apache Tomcat ≤ 10.1.34
9.0.0.M1 ≤ Apache Tomcat ≤ 9.0.98

解决方案：

Apache 官方已发布安全通告并发布了修复版本11.0.3、10.1.35、9.0.99，请尽快下载安全版本修复漏洞

漏洞检测工具：

【Goby】-资产绘测及实战化漏洞扫描工具，实战漏洞验证效果如图所示（标准版及企业版已支持检测）：

查看Goby更多漏洞：Goby历史漏洞合集